CVE-2026-49290

Nome do Software Vulnerável e Versões Afetadas Slopsmith versões anteriores a 0.2.9-alpha.5

Description Slopsmith é uma aplicação web para navegar, tocar e praticar Rocksmith 2014 Custom DLC. Uma falha de path-traversal nos extratores de arquivos permite que um invasor escreva arquivos arbitrários fora do diretório de extração ao fornecer um arquivo PSARC ou sloppak manipulado. Isso ocorre porque três extratores de arquivos concatenam os nomes dos arquivos de entrada do arquivo diretamente na raiz de extração sem validação: a função unpack psarc em lib/psarc.py, a função unpack psarc em lib/patcher.py e a função unpack zip em lib/sloppak.py, que utiliza ZipFile.extractall() sem um filtro de membros. Essas funções aceitam nomes de entrada contendo caminhos absolutos, separadores de barra invertida ou segmentos ... Em configurações padrão do Docker onde a aplicação é executada como root, a capacidade de inserir um arquivo no diretório de plugins pode levar à execução remota de código arbitrário no host.

Recommendations Atualize para a versão 0.2.9-alpha.5. Evite abrir arquivos PSARC ou sloppak de fontes não confiáveis. Não exponha a instância do Slopsmith à internet pública. Usuários de Docker devem baixar a imagem mais recente assim que a versão atualizada for publicada.