CVE-2026-55846 in Allure 2
Résumé
par VulDB • 14/09/2026
Allure 2 est la branche de versions 2.x d'Allure Report, un outil multi-langages de rapport de tests. Avant la version 2.39.0, le serveur HTTP démarré par allure serve et allure open utilise URI.getPath() dans Commands.setUpServer() situé dans allure-commandline/src/main/java/io/qameta/allure/Commands.java et transmet le chemin de requête décodé en pourcentage à reportDirectory.resolve() sans normaliser le résultat ni confirmer qu'il reste bien au sein de ce répertoire. Un client non authentifié pouvant atteindre le serveur peut soumettre des segments de répertoires parents, y compris des segments encodés en pourcentage, et amener serveFile() à retourner n'importe quel fichier lisible par le processus Allure. Le serveur s'attache (bind) à localhost par défaut, mais l'option --host peut l'exposer aux autres systèmes ; les utilisateurs locaux, les conteneurs adjacents ou les attaques d'origine navigateur peuvent atteindre un écouteur local. Cela peut entraîner la divulgation de identifiants, de configurations, de code source, de secrets de build et d'autres données CI/CD. Ce problème est corrigé dans la version 2.39.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.