CVE-2026-86542
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- 0.5%
- CWE
- CWE-22
- KEV Durumu
- Hayır
Yayım tarihi: 7 Eylül 2026
0.30.0 sürümünden önceki bilinen sürümler, import rotalarında import isimleri doğrulamayı başarısız oluyor ve kimlik doğrulaması yapılmamış saldırganların imports dizininin dışında dosyalar yazmasına izin veriyor. Saldırganlar, name parametresinde geçiş dizilerini sağlayarak imports dizininden kaçabilir ve sunucu işleminin yazabileceği keyfi dosyaları üzerine yazabilir.
Orijinal açıklama (İngilizce)
knowns before 0.30.0 fails to validate import names in the import routes, allowing unauthenticated attackers to write files outside the imports directory. Attackers can supply traversal sequences in the name parameter to escape the imports directory and overwrite arbitrary files writable by the server process.
Referanslar
- https://github.com/knowns-dev/knowns/blob/v0.29.1/internal/server/routes/imports.go#L376-L420
- https://github.com/knowns-dev/knowns/blob/v0.29.1/internal/server/routes/imports.go#L519-L551
- https://github.com/knowns-dev/knowns/commit/d3989829fb5095666d23d005b2f78a082832a396
- https://github.com/knowns-dev/knowns/releases/tag/v0.30.0
- https://github.com/knowns-dev/knowns/security/advisories/GHSA-wh3c-v55g-qfg8
- https://www.vulncheck.com/advisories/knowns-before-0.30.0-path-traversal-via-import-name
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.