یک آسیب‌پذیری امنیتی با شناسه CVE-2026-94489 در نسخه 1.0.0 نرم‌افزار OctoPrint شناسایی شده است. این نقص امنیتی در تابع _validate واقع در فایل src/octoprint/server/api/files.py و در بخش File Download API رخ می‌دهد.
جزئیات فنی و تحلیل
این آسیب‌پذیری از نوع Path Traversal است که به دلیل عدم اعتبارسنجی صحیح آرگومان filename در API دانلود فایل‌ها ایجاد شده است. یک مهاجم می‌تواند با دستکاری این پارامتر، به فایل‌های خارج از دایرکتوری تعیین شده در سیستم دسترسی پیدا کند.
- نوع حمله: از راه دور (Remote)
- وضعیت اکسپلویت: کد اکسپلویت (Exploit) به صورت عمومی منتشر شده و قابل استفاده است.
- شدت آسیب‌پذیری: متوسط (Medium)
لازم به ذکر است که با وجود تلاش برای اطلاع‌رسانی به توسعه‌دهنده (Vendor)، تا این لحظه پاسخی مبنی بر رفع این مشکل دریافت نشده است. مدیران SOC و مهندسین امنیت توصیه می‌کنند دسترسی‌های API را محدود کرده و در صورت امکان از فایروال‌های کاربردی (WAF) برای شناسایی الگوهای Traversal استفاده کنند.
