CVE-2026-103061

Nome do Software Vulnerável e Versões Afetadas gleam versões 0.32.4 até 1.19.1

Descrição Um problema de path traversal existe onde um publicador de pacotes malicioso pode causar a exclusão de diretórios fora do diretório de build do projeto. Isso ocorre porque o Gleam lê o campo app da API de releases do hex.pm e o utiliza como nome do diretório de build do pacote sem a validação adequada. Se uma dependência falhar na compilação, o Gleam utiliza a função remove dir all para excluir o diretório associado a esse nome. Um publicador poderia definir o campo app como um caminho absoluto ou um caminho relativo contendo componentes .. para atingir diretórios arbitrários. Isso pode ser acionado por comandos como gleam build, gleam check, gleam run, gleam test ou gleam export quando um projeto depende de uma release maliciosa. O problema está especificamente ligado à função hex manifest package em compiler-cli/src/dependencies.rs e à função ProjectPaths::build directory for package.

Recomendações Atualize o gleam para a versão 1.19.2 ou posterior.