CVE-2026-50567

Nome do Software Vulnerável e Versões Afetadas Fission versões anteriores a 1.25.0

Descrição O Fission é um framework serverless nativo do Kubernetes. A função Unarchive() em pkg/utils/zip.go não valida se o caminho resolvido de uma entrada de arquivo permanece dentro do diretório de destino ao usar filepath.Join. Isso permite um ataque de Zip Slip, onde uma entrada de zip especialmente criada (ex: ../../tmp/evil) pode ser gravada fora do diretório pretendido. Um invasor que controle o arquivo Package.Spec.Source.URL ou Deployment.URL pode forçar o sidecar fission-fetcher a gravar arquivos em locais arbitrários acessíveis pelo processo, como diretórios /packages/<ns>/ de outros locatários, volumes de segredos/configurações montados ou o próprio binário do fetcher.

Recomendações Atualizar para a versão 1.25.0.