Tableau Server – Path Traversal durch ungeprüften Datei-Upload im Flow Editor

Beschreibung

In den Flow-Editor-Modulen von Salesforce Tableau Server unter Windows und Linux erlaubt ein unzureichend eingeschränkter Datei-Upload (Unrestricted Upload of File with Dangerous Type) einen Absolute Path Traversal. Betroffen sind Tableau-Server-Versionen vor 2025.1.3, vor 2024.2.12 sowie vor 2023.3.19. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität ausnutzbar, erfordert keine Rechte und keine Nutzerinteraktion; Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils gering betroffen. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: Aktualisierung auf Tableau Server 2025.1.3, 2024.2.12 oder 2023.3.19 bzw. neuer.

Changelog

1. 2026-08-01 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Tableau (Salesforce)

• Integration for Salesforce and Contact Form 7: Unauthentifizierte PHP Object Injection CVE-2026-49109
• Salesforce Marketing Cloud Engagement – Argument Injection (MicrositeUrl) CVE-2026-22582
• Salesforce Marketing Cloud Engagement – Argument-Injection im CloudPagesUrl-Modul CVE-2026-22583
• CVE-2026-22585 – Unsicherer Kryptoalgorithmus in Salesforce Marketing Cloud Engagement CVE-2026-22585
• Salesforce Marketing Cloud Engagement – Hartkodierter kryptografischer Schlüssel CVE-2026-22586
• Salesforce Uni2TS: Code-Injection-Schwachstelle CVE-2026-22584