CVE-2026-108262

Nome do Software Vulnerável e Versões Afetadas DDEV versões 1.25.2 through 1.25.3

Description A função Untar em pkg/archive/archive.go valida alvos de symlink tar absolutos após rebaseá-los abaixo de um destino, mas cria o symlink usando o Linkname absoluto bruto. Isso permite que um arquivo compactado malicioso plante um symlink absoluto no host e use uma entrada de arquivo regular subsequente para gravar arquivos fora do diretório de extração. Este problema é acessível por meio da recuperação remota de complementos e importações de banco de dados ou arquivos. A sobrescrita de arquivos de inicialização do shell, hooks do Git ou entradas do cron pode resultar na execução de código no contexto do usuário DDEV.

Recommendations Atualize para a versão 1.25.4.