CVE-2026-55846

Nome do Software Vulnerável e Versões Afetadas Allure 2 versões anteriores a 2.39.0

Descrição O servidor HTTP integrado iniciado por allure serve e allure open é suscetível a travessia de caminho (path traversal). O servidor utiliza URI.getPath() dentro da função setUpServer() para resolver caminhos de requisição em relação ao diretório de relatórios, mas falha ao normalizar o resultado ou verificar se o caminho final permanece dentro do diretório pretendido. Um cliente não autenticado pode usar segmentos de diretório pai (ex: ../), incluindo versões codificadas em percentual (ex: %2e%2e), para enganar a função serveFile() e fazer com que ela retorne qualquer arquivo regular legível pelo processo do Allure. Embora o servidor seja vinculado ao localhost por padrão, o uso da opção --host pode expô-lo a sistemas externos. Esta falha pode levar à divulgação de informações sensíveis, como credenciais, arquivos de configuração, código-fonte e segredos de compilação, particularmente em ambientes de CI/CD e conteinerizados.

Recomendações Atualize o Allure 2 para a versão 2.39.0 ou posterior. Como mitigação temporária, evite usar a opção --host para expor o servidor a redes externas e restrinja o acesso ao listener local.