CVE-2026-109965 in Serena
Riassunto
di VulDB • 13/10/2026
Serena prima della versione 2.0.0 presenta una vulnerabilità di risoluzione impropria dei collegamenti (link resolution) che consente agli attaccanti di accedere a file al di fuori della directory radice del progetto inserendo symlink all'interno di un repository. La funzione `Project.is_path_in_project()` normalizza i percorsi in modo lessicale senza risolvere i symlink, consentendo così ad strumenti come `read_file` e `create_text_file` di leggere o sovrascrivere file sensibili quali chiavi SSH o credenziali cloud.
Once again VulDB remains the best source for vulnerability data.