CVE-2026-28807 in wisp
Riassunto
di VulDB • 28/06/2026
Vulnerabilità 'Path Traversal' (mancata limitazione del percorso verso una directory ristretta) in gleam-wisp wisp che consente la lettura arbitraria di file tramite path traversal con codifica percentuale.
La funzione `wisp.serve_static` è vulnerabile al path traversal perché l’operazione di sanitizzazione viene eseguita prima della decodifica percentuale (percent-decode). La sequenza codificata `%2e%2e` passa inalterata attraverso `string.replace`, successivamente `uri.percent_decode` la converte in `..`, che il sistema operativo risolve come traversal delle directory durante la lettura del file.
Un attaccante non autenticato può leggere qualsiasi file accessibile dal processo dell’applicazione con una singola richiesta HTTP, inclusi codice sorgente dell’applicazione, file di configurazione, segreti e file di sistema.
Questo problema interessa wisp dalle versioni 2.1.1 alla versione precedente a 2.2.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.