جزئیات آسیب‌پذیری
CVE-2026-109823
tidewave-ai tidewave
Host filesystem path disclosure via DNS rebinding
CVSS 4.0
2.3پایین
شرح رسمی (انگلیسی)
An attacker can read the name of filesystem paths of your application present via Tidewave configuration via /tidewave/connect or via the rendered toolbar. Neither response checks the Host header. A web page that rebinds its own domain to the loopback address can therefore read the tag with a same-origin request, which carries no Origin header. The paths usually reveal the local username and the project layout. This issue affects tidewave: from 0.8.0 before 0.9.2.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 2.3پایین | 4.0 | CVEProject cvelistV5 (CNA) (EEF) | CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| tidewave-ai | tidewave | 0.8.0 ≤ v < 0.9.2 | CVEProject cvelistV5 (CNA) |
| tidewave-ai | tidewave | f78352b56d19cd4ae49999aa385011cef73e8b93 ≤ v < 80159536f752dc4d34797934d1516f29cea12b50 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://cna.erlef.org/cves/CVE-2026-109823.html relatedthird-party-advisory
- https://osv.dev/vulnerability/EEF-CVE-2026-109823 related
- https://github.com/tidewave-ai/tidewave_phoenix/commit/f78352b56d19cd4ae49999aa385011cef73e8b93 related
- https://github.com/tidewave-ai/tidewave_phoenix/commit/80159536f752dc4d34797934d1516f29cea12b50 patch
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۰۵
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۰۵
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- EEF
پیش‌بینی بهره‌برداری (EPSS)
۰٫۳۶٪
احتمال بهره‌برداری در ۳۰ روز
۳۰٫۶٪
صدک (نسبت به همه‌ی CVEها)
ضعف‌ها (CWE)
- CWE-497Exposure of Sensitive System Information to an Unauthorized Control Sphere