CVE-2026-61738
Publiée le 2026-10-30 · Dernière modification le 2026-10-30
SOCFortress CoPilot (versions antérieures à 0.1.77) est un tableau de bord d'opérations de sécurité utilisé pour centraliser la surveillance de la sécurité. Une faille existe dans la fonctionnalité de génération de rapports GCP, où le système ne parvient pas à assainir le nom de fichier fourni dans une requête de téléchargement. Cela permet à un utilisateur d'utiliser des séquences de traversée de répertoire (comme `../`) pour enregistrer un fichier JSON en dehors du dossier de rapports prévu.
Un attaquant ayant un accès réseau peut écraser des fichiers système ou d'application critiques, compromettant potentiellement l'intégrité et la disponibilité de l'hôte. Comme le backend s'exécute généralement avec des privilèges root, cela peut conduire à une prise de contrôle complète du système, bien que l'attaquant soit limité au téléchargement de contenu JSON valide. Aucune authentification ni interaction de l'utilisateur n'est requise pour déclencher cet exploit.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
SOCFortress CoPilot focuses on providing a single pane of glass for all your security operations needs. Prior to 0.1.77, `POST /api/scoutsuite/generate-gcp-report` in `backend/app/integrations/scoutsuite/routes/scoutsuite.py` admits admin and analyst users and validates the uploaded content as `GCPScoutSuiteJSON`, but passes raw `file.filename` from the multipart header to `save_file_to_directory` in `backend/app/integrations/scoutsuite/services/scoutsuite.py`. The writer combines this filename with `scoutsuite-report` using `os.path.join` without sanitization or a resolved-path containment check. A traversal filename therefore writes the supplied JSON outside the intended report directory. In the reported root-running backend, the researcher demonstrated root-owned writes outside that directory and into the application source directory. This permits host-file overwrite subject to the accepted JSON-content constraint and can disrupt application operation; the demonstrated primitive does not establish unrestricted executable contents or unconditional cross-tenant confidentiality loss. Version 0.1.77 removes caller-controlled filenames from the affected route; unrestricted-content and direct-code-execution claims require separate curator reconciliation.