A path traversal vulnerability was reported in the Motorola Ready For application that could allow a local attacker to access local files.

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (lenovo). Не зависят от анализа CPE в NVD и обычно опережают его.

• Motorola Phones

  • до 2023-12-01затронута · SPL

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-5804An improper authentication vulnerability was discovered in the Motorola Factory Test component (com.motorola.motocit).
  33Наблюдать
• CVE-2023-41830 An improper absolute path traversal vulnerability was reported for the Ready For application allowing a local application access to files w
  26Наблюдать
• CVE-2024-3109 A hard-coded AES key vulnerability was reported in the Motorola GuideMe application, along with a lack of URI sanitation, could allow for a
  25Наблюдать
• CVE-2023-41819 A PendingIntent hijacking vulnerability was reported in the Motorola Face Unlock application that could allow a local attacker to access un
  24Наблюдать
• CVE-2024-3108 An implicit intent vulnerability was reported for Motorola’s Time Weather Widget application that could allow a local application to acquir
  22Наблюдать
• CVE-2023-41826A PendingIntent hijacking vulnerability in Motorola Device Help (Genie) application that could allow local attackers to access files or inte
  20Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Имя файла, переданное пользователем, объединяется с разрешённым каталогом, но не проверяется, остаётся ли результат внутри этого каталога.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const file = path.join(ROOT, req.query.name);2res.sendFile(file);

1const file = path.resolve(ROOT, req.query.name);2if (!file.startsWith(ROOT + path.sep)) {3  return res.sendStatus(400);4}5res.sendFile(file);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.