CVE-2026-57856

Cockpit CMS, Bucket dosya depolama API'sinde (/system/buckets/api) bir dizinlemesine geçiş (path traversal) zafiyeti içermektedir. modules/System/Controller/Buckets.php dosyasındaki api() metodu, bucket adını preg_replace('/[^a-zA-Z0-9-_\\.]/','', $bucket) ile temizlemektedir; bu durum '..' ve '../' dizilerine izin vermektedir. Temizlenen değer, uploads://buckets/{bucket} şeklinde bir Flysystem yoluna yerleştirilmektedir. Flysystem'in WhitespacePathNormalizer bileşeni, '..' ifadesinden önce tüketilecek bir bileşen bulunduğu için PathTraversalDetected hatası oluşturmadan 'buckets/..' ifadesini boş dizeye (uploads depolama kök dizinine) çözümlemektedir. Kimliği doğrulanmış düşük yetkili bir kullanıcı, '../' içeren özel olarak hazırlanmış bir bucket adı ile istek göndererek diğer kullanıcılara veya rollere ait olanlar da dahil olmak üzere tüm bucket'lardaki dosyaları listeleyebilir, yükleyebilir ve silebilir.