CVE-2026-103060

Nome do Software Vulnerável e Versões Afetadas erlang rebar3 versões 3.7.0-rc1 até 3.27.1

Description Um problema de path traversal existe onde um publicador de pacotes malicioso pode excluir um diretório fora do diretório build do projeto e extrair arquivos de pacotes nele quando um desenvolvedor busca dependências. Isso ocorre porque o rebar3 usa o campo app de uma dependência do registro Hex para nomear a dependência sem validação. Especificamente, a função rebar packages:parse deps/1 atribui o nome, e rebar app utils:dep to app/7 constrói o caminho do diretório. Subsequentemente, rebar fetch:download source online/2 exclui o diretório resolvido usando rm -rf e move o pacote buscado para dentro dele. Se um publicador definir o campo app com um valor contendo sequências de path traversal como ../../../../target, o rebar3 excluirá e sobrescreverá o diretório para o qual o caminho resolve. Esse processo acontece antes que o rebar.config.script da dependência seja avaliado. A substituição de um diretório cujos conteúdos sejam posteriormente executados ou carregados pode levar à execução remota de código.

Recommendations Atualize o rebar3 para a versão 3.27.2 ou posterior.