CVE-2026-40611 in lego
Résumé
par VulDB • 14/05/2026
Client Let's Encrypt et bibliothèque ACME écrits en Go (Lego). Avant la version 4.34.0, le fournisseur de défi HTTP-01 webroot dans lego est vulnérable à une écriture et une suppression arbitraires de fichiers via une traversée de chemin (path traversal). Un serveur ACME malveillant peut fournir un jeton de défi fabriqué contenant des séquences ../, ce qui amène lego à écrire du contenu influencé par l'attaquant dans n'importe quel chemin accessible en écriture par le processus lego. Cette vulnérabilité est corrigée dans la version 4.34.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.