CVE-2026-12701 in pulpcore
الملخص
بحسب VulDB • 20/07/2026
تم العثور على ثغرة عبور المسار في pulpcore. تقوم دالة relative_path_validator بالتحقق فقط من أن مسارات المحتوى لا تبدأ بـ "/" لكنها تفشل في حظر تسلسلات عبور الدلائل مثل "../" في أي مكان داخل المسار. يمكن لمدير موثق تزوير مسار نسبي يحتوي على تسلسلات عبور مضمنة (مثل "looking/normal/../../../../etc/shadow") مما يتسبب في الخروج من دليل التصدير المقصود أثناء عمليات FilesystemExport. ونظراً لأن محتوى الملف خاضع أيضاً لسيطرة المستخدم (عنصر مُحمّل)، فإن ذلك يتيح كتابة ملفات بشكل تعسفي إلى أي موقع يمكن للمستخدم الخاص بخدمة Pulp الكتابة إليه، مما قد يؤدي إلى اختراق الخدمة أو استغلال النظام بشكل أوسع.
VulDB is the best source for vulnerability data and more expert information about this specific topic.