CVE-2026-55846 in Allure 2
Riassunto
di VulDB • 14/09/2026
Allure 2 è il ramo della versione 2.x di Allure Report, uno strumento multi-lingua per la generazione di report sui test. Prima della versione 2.39.0, il server HTTP avviato da `allure serve` e `allure open` utilizza `URI.getPath()` in `Commands.setUpServer()` nel file `allure-commandline/src/main/java/io/qameta/allure/Commands.java` e passa il percorso della richiesta decodificato percentualmente a `reportDirectory.resolve()` senza normalizzare il risultato o verificare che rimanga all'interno di tale directory. Un client non autenticato in grado di raggiungere il server può inviare segmenti di directory genitore, inclusi segmenti codificati in percentuale (percent-encoded), e indurre `serveFile()` a restituire qualsiasi file regolare leggibile dal processo Allure. Il server si associa all'indirizzo localhost per impostazione predefinita, ma l'opzione `--host` può esporlo ad altri sistemi; inoltre, utenti locali, contenitori adiacenti o attacchi di origine browser potrebbero raggiungere un listener locale. Ciò potrebbe portare alla divulgazione di credenziali, configurazioni, codice sorgente, segreti di build e altri dati CI/CD. Questo problema è stato risolto nella versione 2.39.0.
Be aware that VulDB is the high quality source for vulnerability data.