CVE-2026-72567

Nome do Software Vulnerável e Versões Afetadas AsyncFuncAI/deepwiki-open versões anteriores ao commit 16f35a0

Descrição A validação inadequada de caminho permite que atacantes remotos não autenticados gravem ou excluam arquivos arbitrários com privilégios de root. O endpoint wiki-cache em 'api/api.py' constrói caminhos de arquivo usando os campos owner, repo e repo type sem a sanitização adequada, o que possibilita o path traversal. Path traversal é uma técnica usada para acessar arquivos e diretórios armazenados fora da pasta raiz da web. Além disso, um segundo endpoint não autenticado permite a criação de diretórios; quando combinadas, essas capacidades permitem operações de gravação e exclusão de arquivos arbitrários como o usuário do processo root.

Recomendações Atualize o AsyncFuncAI/deepwiki-open para uma versão posterior ao commit 16f35a0. Restrinja o acesso ao endpoint wiki-cache em 'api/api.py' para minimizar o risco de exploração.