یک آسیب‌پذیری امنیتی با شدت High در نرم‌افزار Laranode شناسایی شده است که تحت شناسه CVE-2026-100520 ثبت گردید. این نقص امنیتی در نسخه‌های پیش از 1.2.1 وجود دارد و مربوط به نقص در اعتبارسنجی مسیرها در نقطه انتهایی (Endpoint) مربوط به آپلود فایل است.
جزئیات فنی آسیب‌پذیری
این آسیب‌پذیری از نوع Path Traversal است و در مسیر POST /filemanager/upload-file رخ می‌دهد. کاربران احراز هویت شده می‌توانند با استفاده از توالی‌های پیمایش دایرکتوری (Directory Traversal Sequences) در پارامتر مسیر، فایل‌های دلخواه خود را خارج از دایرکتوری خانگی (Home Directory) بنویسند.
تاثیر و ریسک عملیاتی
- تزریق فایل: مهاجم می‌تواند فایل‌های PHP را در ریشه وب (Web Root) سایر مستاجران (Tenants) قرار دهد.
- اجرای کد: با قرار دادن فایل‌های مخرب در مسیرهای حساس، مهاجم قادر خواهد بود کد را در سطح دسترسی سایر کاربران یا مستاجران اجرا کند (Remote Code Execution).
به مدیران SOC و مهندسین امنیت توصیه می‌شود هرچه سریع‌تر سیستم‌های خود را به نسخه 1.2.1 یا بالاتر به‌روزرسانی کنند تا از سوءاستفاده احتمالی جلوگیری شود.
