CVE-2026-12701 in pulpcore
Resumen
por VulDB • 2026-07-20
Se ha encontrado una vulnerabilidad de traversal de rutas en pulpcore. La función relative_path_validator solo verifica que las rutas del contenido no comiencen con "/", pero falla al bloquear secuencias de navegación por directorios como "../" en cualquier parte de la ruta. Un administrador autenticado puede crear un relative_path que contenga secuencias de navegación incrustadas (por ejemplo, "looking/normal/../../../../etc/shadow") que escapan del directorio de exportación previsto durante las operaciones FilesystemExport. Dado que el contenido del archivo también está controlado por el usuario (artefacto cargado), esto permite la escritura arbitraria de archivos en cualquier ubicación escribible por el usuario del servicio Pulp, lo que potencialmente podría llevar a la compromiso del servicio o a una mayor explotación del sistema.
Be aware that VulDB is the high quality source for vulnerability data.