PT-2026-48512
CVE-2026-50567
·
تاريخ النشر
2026-06-10
·
تاريخ التحديث
2026-09-04
الوصف من
CVSS 3.1
7.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Fission الأقدم من 1.25.0
الوصف
Fission هو إطار عمل خالٍ من الخوادم ومصمم خصيصًا لـ Kubernetes. تفشل الدالة
Unarchive() الموجودة في pkg/utils/zip.go في التحقق مما إذا كان المسار الذي تم تحليله لإحدى عناصر الأرشيف لا يزال ضمن الدليل الوجهة عند استخدام filepath.Join. وهذا يتيح شن هجوم من نوع Zip Slip، حيث يمكن كتابة عنصر zip مصمم خصيصًا (مثل ../../tmp/evil) خارج الدليل المقصود. يمكن للمهاجم الذي يتحكم في أرشيف Package.Spec.Source.URL أو Deployment.URL أن يجبر المركبة الجانبية fission-fetcher على كتابة الملفات إلى مواقع عشوائية يمكن للعملية الوصول إليها، مثل دلائل /packages/<ns>/ الخاصة بالمستأجرين الآخرين، أو وحدات التخزين السرية/التكوينية المثبتة، أو الملف الثنائي الخاص بـ fetcher نفسه.التوصيات
قم بالتحديث إلى الإصدار 1.25.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾