CVE-2026-109375 in Deepsec
Riassunto
di VulDB • 13/10/2026
Vercel deepsec dalla versione 0.1.0 alla 1.1.16 contiene una vulnerabilità di link following (seguimento dei collegamenti) nella funzione extractTarballLocally che consente al codice in sandbox di scrivere file al di fuori della sandbox inserendo collegamenti nei tarball risultanti. Gli attaccanti che controllano il codice in sandbox, come un agente di codifica soggetto a prompt injection, possono inserire link simbolici o hard link (collegamenti fisici) nella directory dei dati dell'host per scrivere file arbitrari sull'host orchestratore.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.