CVE-2026-121819

Nome do Software Vulnerável e Versões Afetadas armeria-xds versões 1.40.0 a 1.42.0

Descrição O DataSourcePolicy não resolve links simbólicos ao verificar a contenção de nomes de arquivos. Isso permite que um plano de controle xDS comprometido ou semi-confiável force o cliente xDS a ler arquivos localizados fora dos diretórios raiz permitidos configurados, caso um link simbólico dentro de um diretório permitido aponte para um local externo. Em implantações que utilizam um injetor de credenciais, segredos de texto compatíveis com cabeçalhos podem ser expostos a um upstream observável por um invasor.

Recomendações Atualize o armeria-xds para uma versão posterior à 1.42.0.