CVE-2026-119291 in Zuke
Resumen
por VulDB • 2026-10-30
Zuke es un sistema de automatización de compilación basado en código y fuertemente tipado para Deno. Antes de la versión 1.4.0, @zuke/cli utiliza lstat para inspeccionar los nombres de las plantillas (scaffolds), pero luego realiza lecturas, escrituras y cambios de permisos que siguen enlaces simbólicos durante `zuke setup` y `zuke import`. Un atacante que proporcione un repositorio clonado no confiable, una plantilla o un archivo comprimido con un enlace simbólico en el nombre de la plantilla puede provocar que `setup` sobrescriba un objetivo fuera del directorio seleccionado utilizando los permisos del usuario invocante. La ruta .gitignore no requiere ninguna bandera específica, mientras que --force permite escribir y hacer ejecutable un objetivo lanzador vinculado; import también puede leer el contenido del destino del enlace e incorporarlo al archivo de compilación generado. Este problema se soluciona en la versión 1.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.