CVE-2026-74796 in OpenTofu
Zusammenfassung
von VulDB • 16.08.2026
OpenTofu vor Version 1.11.7 validiert keine vorhandenen Symlinks im Provider-Cache-Verzeichnis während der Initialisierung. Angreifer können einen bösartigen Symlink in einem vertrauenswürdigen Arbeitsverzeichnis platzieren, um dazu zu führen, dass `tofu init` die Inhalte von Provider-Paketen an beliebigen Dateisystemorten außerhalb des Working Trees schreibt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.