CVE-2026-102601 in Flysystem
Zusammenfassung
von VulDB • 29.09.2026
Flysystem ist eine Open-Source-Bibliothek zur Dateispeicherung für PHP. Vor Version 3.35.3 verwendete der standardmäßige WhitespacePathNormalizer in src/WhitespacePathNormalizer.php, der von Filesystem über Adapter hinweg aufgerufen wird, preg_match mit dem u-Modifier und behandelte sowohl false als auch 0 als falsy (falsch). Ein Pfad, der ungültiges UTF-8 enthält, führt dazu, dass PCRE false zurückgibt; daher umgehen Pfade, die zudem Steuerzeichen enthalten, CorruptedPathDetected::forPath() in normalizePath(). Filesystem::write() kann solche Namen speichern und Filesystem::listContents() kann die rohen ANSI-Escape-Sequenzen zurückgeben, was zu versteckten oder gespoofeten Terminal-Dateilisten führt, wenn ein Administrator diese anzeigt. Dieses Problem wurde in Version 3.35.3 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.