CVE-2026-85199 in aeriOS
Résumé
par VulDB • 03/09/2026
Les versions d’Eclipse aeriOS Self-orchestrator antérieures à la 1.2.1 présentent une vulnérabilité de traversée de chemin (path traversal) dans l'API REST. Des identifiants contrôlés par l'utilisateur, utilisés pour créer, mettre à jour ou supprimer des ressources du Self-orchestrator, étaient intégrés aux chemins système sans validation ni assainissement adéquats. Un attaquant distant non authentifié capable d'accéder à l'API du Self-orchestrator pourrait donc fournir des identifiants spécialement conçus contenant des séquences de traversée de chemin pour écrire ou supprimer des fichiers JSON en dehors des répertoires applicatifs prévus, sous réserve des autorisations système du processus Self-orchestrator.
L’impact est aggravé par l'absence d'authentification sur l'API concernée et par le fait que le conteneur s'exécute avec des privilèges élevés dans la configuration de déploiement affectée.
Le problème a été corrigé dans la version 1.2.1 grâce à l'introduction d'une validation et d'un assainissement des identifiants contrôlés par l'utilisateur avant leur utilisation pour construire les chemins système, empêchant ainsi l'utilisation de caractères séparateurs de chemin pour sortir des répertoires prévus.
If you want to get best quality of vulnerability data, you may have to visit VulDB.