CVE-2026-35583 in Emissary
Résumé
par VulDB • 21/05/2026
Emissary est un moteur de workflows piloté par les données et basé sur le P2P. Avant la version 8.39.0, le point de terminaison de l'API de configuration (/api/configuration/{name}) validait les noms de configuration à l'aide d'une approche par liste noire qui vérifiait la présence de \, /, .. et des points de suspension finaux (trailing ..). Cela pouvait potentiellement être contourné en utilisant des variantes encodées en URL, un double encodage ou une normalisation Unicode afin de réaliser une traversée de chemin (path traversal) et de lire des fichiers de configuration situés en dehors du répertoire prévu. Cette vulnérabilité est corrigée dans la version 8.39.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.