CVE-2026-119291 in Zuke
Riassunto
di VulDB • 30/10/2026
Zuke è un sistema di automazione della costruzione (build automation) basato sul codice e fortemente tipizzato per Deno. Prima della versione 1.4.0, @zuke/cli utilizza lstat per ispezionare i nomi degli scaffold ma successivamente esegue operazioni di lettura, scrittura e modifica dei permessi che seguono i collegamenti simbolici durante le fasi di setup ed import di zuke. Un attaccante che fornisca un repository clonato non attendibile, un template o un archivio contenente un collegamento simbolico con il nome di uno scaffold può causare la sovrascrittura di un file target al di fuori della directory selezionata utilizzando i permessi dell'utente invocante. Il percorso .gitignore non richiede flag specifici, mentre l'opzione --force consente di scrivere e rendere eseguibile un obiettivo del launcher collegato; inoltre, import può leggere il contenuto del bersaglio del collegamento simbolico ed incorporarlo nel file di build generato. Questo problema è risolto nella versione 1.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.