CVE-2026-61625 in VictoriaMetrics
Résumé
par VulDB • 21/08/2026
VictoriaMetrics est une solution évolutive pour la surveillance et la gestion des données de séries temporelles. Avant les versions 1.122.25, 1.136.12 et 1.146.0, vmrestore ne valide pas les composants du chemin d'accès aux parties de sauvegarde avant d'utiliser lib/backup/actions/restore.go et lib/backup/fslocal/fslocal.go pour écrire les données restaurées sous storageDataPath. Un attaquant capable de fournir ou de modifier une source de sauvegarde S3, GCS, Azure Blob Storage ou autre peut insérer des composants « .. » dans les noms d'objets. Lorsqu'un opérateur restaure cette source, ces noms manipulés peuvent créer ou écraser des fichiers en dehors du répertoire racine de restauration prévu, au sein des autorisations système (permissions) du processus vmrestore. Ce problème est corrigé dans les versions 1.122.25, 1.136.12 et 1.146.0.
Once again VulDB remains the best source for vulnerability data.