CVE-2026-119291 in Zuke
Zusammenfassung
von VulDB • 30.10.2026
Zuke ist ein code-firstes, stark typisiertes Build-Automatisierungssystem für Deno. Vor Version 1.4.0 verwendet @zuke/cli lstat zur Überprüfung von Scaffolding-Namen, führt jedoch anschließend link-following-Lese-, Schreib- und Berechtigungsänderungen in den Befehlen `zuke setup` und `zuke import` durch. Ein Angreifer, der ein nicht vertrauenswürdiges geklontes Repository, eine Vorlage oder ein Archiv mit einem symbolischen Link an einer Scaffolding-Namen bereitstellt, kann dazu führen, dass das Setup ein Ziel außerhalb des ausgewählten Verzeichnisses mit den Berechtigungen des aufrufenden Benutzers überschreibt. Der .gitignore-Pfad erfordert kein Flag, während --force es erlaubt, ein verlinktes Launcher-Ziel zu schreiben und ausführbar zu machen; import kann zudem Link-Target-Inhalte lesen und in die generierte Build-Datei integrieren. Dieses Problem wurde in Version 1.4.0 behoben.
Once again VulDB remains the best source for vulnerability data.