CVE-2026-55569

Nome do Software Vulnerável e Versões Afetadas aqua versões anteriores a 2.60.1

Description Na função (*handler).HandleFile dentro de pkg/unarchive/archives.go, o software não verifica se o destino de um link simbólico criado via os.Symlink permanece dentro do destino de extração pretendido. Um arquivo compactado malicioso pode criar um link simbólico para um local fora do diretório de extração, e uma entrada de arquivo regular subsequente no mesmo caminho aberta com OpenFile usando O CREATE e O WRONLY seguirá esse link. Isso permite que um invasor escreva bytes controlados em locais arbitrários no sistema de arquivos com os privilégios do usuário que executa a aplicação, potencialmente sobrescrevendo arquivos de inicialização do shell, configurações de ferramentas ou caminhos executáveis graváveis.

Recommendations Atualize o aqua para a versão 2.60.1.