CVE-2026-106103

Nome do Software Vulnerável e Versões Afetadas @quasar/icongenie versões anteriores a 6.1.1

Description O comando icongenie generate --profile não restringe o destino resolvido ao diretório do projeto Quasar ao processar valores de pasta e nome de um perfil fornecido pelo usuário. O arquivo icongenie/lib/utils/get-assets-files.js junta esses valores com appDir, enquanto o icongenie/lib/utils/validate-profile-object.js apenas verifica se as strings não estão vazias. Isso permite a travessia de diretórios pai (parent-directory traversal), permitindo que um desenvolvedor execute um perfil manipulado que grave ou sobrescreva conteúdo de imagem em qualquer caminho gravável pelo usuário, o que pode levar à modificação de arquivos de inicialização do shell, scripts de compilação ou outras configurações executáveis.

Recommendations Atualizar para a versão 6.1.1.