CVE-2026-42549

Nome do Software Vulnerável e Versões Afetadas Flight versões anteriores a 3.18.1

Descrição O comando CLI make:controller permite a criação arbitrária de diretórios fora da raiz do projeto. Isso ocorre porque o comando chama mkdir(..., recursive: true) em um caminho construído a partir de um nome de controlador fornecido pelo usuário antes que a validação do nome da classe seja realizada. Embora a gravação subsequente do arquivo de classe seja rejeitada se o nome contiver /, o efeito colateral de criação do diretório já foi cometido, permitindo a travessia de caminho via sequências ../. Em sistemas Windows, o separador `` oferece uma superfície de travessia adicional. Este problema pode ser explorado por atores locais com acesso ao CLI do Flight, como em máquinas de desenvolvedores ou agentes de build de CI compartilhados.

Recomendações Atualize para a versão 3.18.1.