CVE-2026-55846 in Allure 2
Zusammenfassung
von VulDB • 15.09.2026
Allure 2 ist die Version-2.x-Zweig von Allure Report, einem mehrsprachigen Testberichterstellungstool. Vor der Version 2.39.0 verwendet der HTTP-Server, der durch `allure serve` und `allure open` gestartet wird, in `Commands.setUpServer()` in `allure-commandline/src/main/java/io/qameta/allure/Commands.java` die Methode `URI.getPath()` und übergibt den prozentual dekodierten Anforderungspfad an `reportDirectory.resolve()`, ohne das Ergebnis zu normalisieren oder sicherzustellen, dass es innerhalb dieses Verzeichnisses bleibt. Ein nicht authentifizierter Client, der auf den Server zugreifen kann, kann übergeordnete Verzeichnissegmente (Parent-Directory-Segments), einschließlich prozentual codierter Segmente, einreichen und dazu führen, dass `serveFile()` eine beliebige reguläre Datei zurückgibt, die vom Allure-Prozess lesbar ist. Der Server bindet standardmäßig an localhost, aber über die Option `--host` kann er für andere Systeme freigegeben werden; lokale Benutzer, benachbarte Container oder Angriffe mit Browser-Ursprung können einen lokalen Listener erreichen. Dies kann zur Offenlegung von Anmeldeinformationen, Konfigurationen, Quellcode, Build-Geheimnissen und anderen CI/CD-Daten führen. Dieses Problem wurde in Version 2.39.0 behoben.
Once again VulDB remains the best source for vulnerability data.