CVE-2026-85684: Kritisk stifejl i marker’s upload-funktion

CVE-2026-85684 er en sti-traversering, en fejltype hvor et program ikke tjekker, om et filnavn forsøger at bevæge sig ud af den tilladte mappe. Fejlen sidder i FastAPI-endpunktet /marker/upload i værktøjet marker, som konverterer PDF-filer til andre formater. Endpunktet renser ikke parameteren file.filename, så en angriber kan sende et filnavn med stier som “../../” og dermed skrive eller slette filer hvor som helst på serveren, den kører på. Fejlen kræver hverken login eller nogen handling fra en bruger.

Det rammer virksomheder og kommuner, der kører marker med versioner til og med 2.0.0 og har FastAPI-serveren med /marker/upload endpunktet tilgængeligt, enten internt eller på nettet. Det gælder typisk it-afdelinger, der har integreret marker i egne dokumentbehandlingsflows, eller leverandører der tilbyder PDF-konvertering som en service ovenpå værktøjet.

En angriber kan overskrive konfigurationsfiler, logfiler eller programfiler og dermed forstyrre driften eller lægge servicen ned. Kan angriberen skrive filer ind i et sted, hvor webserveren udfører kode, som for eksempel en webrod, kan det i praksis føre til, at angriberen får kørt egen kode på serveren. Angriberen kan også slette eksisterende filer, hvilket kan medføre tab af data eller nedbrud af den service, marker indgår i.

CVSS-scoren er 9,1 ud af 10, kritisk. Sårbarheden kræver ikke login og ingen handling fra en bruger, kun at endpunktet er tilgængeligt over netværket. Angrebet er let at udføre teknisk. Der er ingen påvirkning af fortrolighed, altså kan angriberen ikke direkte læse data, men konsekvensen for integritet og tilgængelighed er høj, fordi filer kan overskrives eller slettes. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes.

Prioritér disse trin, hvis I kører marker med det pågældende endpunkt:

1. Fjern eller bloker adgang til /marker/upload fra internettet og begræns den til betroede interne systemer, indtil en rettet version findes.
2. Undersøg om marker-instansen kører med rettigheder, der giver adgang til følsomme systemfiler, og reducér rettighederne til det nødvendige.
3. Gennemgå logfiler for usædvanlige filnavne i uploads, især forekomster af “../” eller absolutte stier.
4. Følg vendorens repository eller sikkerhedsrådgivninger for en rettet version, og opdatér så snart en fungerende rettelse foreligger.
5. Lav en sikkerhedskopi af systemet, hvis marker kører på en server med kritiske data, så et eventuelt filtab kan genoprettes.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, om endpunktet er eksponeret, eller hvis I finder tegn på misbrug.