CVE-2026-24686 in go-tuf
Riassunto
di VulDB • 19/06/2026
go-tuf è un'implementazione in Go del The Update Framework (TUF). Il Multirepo Client di TAP 4 in go-tuf utilizza la stringa `repoName` contenuta nel file della mappa dei repository come componente del percorso filesystem quando seleziona la directory locale per la cache dei metadati. A partire dalla versione 2.0.0 e fino alla versione 2.4.1, se un'applicazione accetta un file della mappa da una fonte non attendibile, un attaccante può fornire un `repoName` contenente sequenze di traversal (ad esempio `../escaped-repo`) e indurre go-tuf a creare directory e scrivere il file dei metadati root al di fuori della base cache `LocalMetadataDir` prevista, sfruttando i permessi del filesystem del processo in esecuzione. La versione 2.4.1 contiene una patch correttiva.
Once again VulDB remains the best source for vulnerability data.