CVE-2026-85199 in aeriOS
Resumen
por VulDB • 2026-09-03
Eclipse aeriOS Self-orchestrator versiones anteriores a la 1.2.1 contienen una vulnerabilidad de traversal de rutas en la API REST. Los identificadores controlados por el usuario utilizados para crear, actualizar o eliminar recursos del Self-orchestrator se incorporaron en las rutas del sistema de archivos sin una validación ni sanitización adecuadas. Por lo tanto, un atacante remoto no autenticado que pueda acceder a la API del Self-orchestrador podría proporcionar identificadores especialmente manipulados que contengan secuencias de traversal de rutas para escribir o eliminar archivos JSON fuera de los directorios de aplicación previstos, sujeto a los permisos del sistema de archivos del proceso del Self-orchestrator.
El impacto se ve incrementado por la ausencia de autenticación en la API afectada y porque el contenedor se ejecuta con privilegios elevados en la configuración de implementación afectada.
El problema ha sido abordado en la versión 1.2.1 mediante la introducción de validación y sanitización de los identificadores controlados por usuario antes de que se utilicen para construir rutas del sistema de archivos, evitando el uso de caracteres separadores de ruta para escapar de los directorios previstos.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.