CVE-2026-32685

إصدارات Gleam من 1.16.0 إلى 1.17.0

توجد مشكلة تتعلق باجتياز المسار في معالجة صفحات التوثيق المخصصة. يتم دمج إدخالات documentation.pages الموجودة داخل ملف gleam.toml في مسارات نظام الملفات دون إجراء التحقق الكافي. وعلى وجه التحديد، يسمح الحقل documentation.pages[].path بكتابة ملفات التوثيق التي تم إنشاؤها خارج الدليل المقصود build/dev/docs/<package>/، كما يسمح الحقل documentation.pages[].source بقراءة الملفات من خارج دليل المشروع لتضمينها في الناتج. يمكن للمهاجم استغلال هذه الثغرة عن طريق إقناع الضحية بتشغيل الأمر gleam docs build على مشروع غير موثوق به أو باستخدام محتوى gleam.toml ضار، مما يؤدي إلى عمليات قراءة وكتابة ملفات تعسفية.

قم بالتحديث إلى إصدار أحدث من 1.17.0.

تجنب تشغيل الأمر gleam docs build على مشاريع غير موثوق بها.

مراجعة إدخالات documentation.pages في ملف gleam.toml قبل إنشاء الوثائق.

تشغيل عملية إنشاء الوثائق في بيئة مقيدة أو معزولة، مثل الحاويات.