CVE-2026-123619mediumCWE-36

CVE-2026-123619: fallo de gravedad media en lektor

Lektor through 3.3.14 and 3.4.0b15 Path Traversal via Admin API Drive-Letter Paths

Publicada el

Seguir esta CVE+ Monitorear lektor

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

10Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.9
Lektor through 3.3.14 and 3.4.0b15 contains an absolute path traversal vulnerability in the admin API on Windows that allows attackers to escape the project directory by supplying drive-letter paths that cleanup_path does not normalise. Attackers can use a malicious web page with cross-site requests or DNS rebinding against the unauthenticated local server to recursively delete directories via deleterecord or write attacker-controlled files via newattachment.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N
Productos afectados
lektor · lektor
CVEs relacionadas — lektor

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-104059HIGHLektor 3.3.14 CSRF via Admin API EndpointsEPSS 0.1%