CVE-2026-28286

위험게시됨

ZimaOS: API를 통한 제한된 시스템 디렉터리 내 파일/폴더 무단 생성 취약점

게시됨: 2026. 3. 2.
업데이트됨: 2026. 3. 3.
CNA 할당 중: GitHub_M
증거 관찰됨: 2026. 8. 25.

기본 CVSS

9.9/ 10위험

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

EPSS 확률 추정

0.4%

낮음 · 다음 30일

백분위수: 34.9%
모델 날짜: 2026. 9. 21.

EPSS는 통계적 추정치이지 확실성이나 영향의 척도가 아닙니다. 이를 CVSS, KEV 상태, 노출 및 환경과 결합하세요.

요약

ZimaOS는 CasaOS의 포크로, Zima 장치 및 UEFI 기반 x86-64 시스템용 운영 체제입니다. 버전 1.5.2-beta3에서 애플리케이션은 프론트엔드/UI에 제한을 적용하여 사용자가 내부 OS 경로에 파일이나 폴더를 생성하지 못하도록 합니다. 그러나 API와 직접 상호작용할 때 이러한 제한은 우회가 가능합니다. `/etc`, `/usr` 또는 기타 민감한 시스템 디렉터리를 대상으로 하는 조작된 요청을 전송하면, API는 일반 사용자가 쓰기 권한을 가져서는 안 되는 위치에 파일이나 디렉터리를 성공적으로 생성합니다. 이는 API가 대상 경로를 제대로 검증하지 않아 중요한 시스템 디렉터리에 대한 무단 작업을 허용함을 나타냅니다. 공개적으로 알려진 패치는 없습니다.

소스

zimaos-cve-2026-28286-arbitrary-file-writePoC
PoC 및 검증 툴킷으로, ZimaOS의 임의 파일 쓰기 취약점인 CVE-2026-28286을 대상으로 하며, API 설정 오류를 악용하여 의도된 디렉터리 외부에 파일을 씁니다.

책임 있는 사용

귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.