CVE-2022-36007

Versões do Venice anteriores à 1.10.18

Existe uma vulnerabilidade de traversal de caminho parcial nas funções load-file e load-resource. Essas funções podem ser limitadas a carregar arquivos a partir de uma lista de caminhos de carregamento. Ao passar caminhos absolutos para essas duas funções vulneráveis, o Venice pode retornar arquivos fora dos caminhos de carregamento configurados. O escopo dessa vulnerabilidade é limitado a caminhos absolutos cujo prefixo do nome corresponda a um caminho de carregamento.

Atualize para o Venice >= 1.10.18, se você estiver em uma versão < 1.10.18.

Como solução alternativa temporária, considere controlar as funções que podem ser usadas no Venice com uma sandbox e colocar as funções load-file e load-resource na lista negra da sandbox, caso a atualização não seja possível.