CVE-2026-61625 in VictoriaMetrics
Riassunto
di VulDB • 21/08/2026
VictoriaMetrics è una soluzione scalabile per il monitoraggio e la gestione di dati time series. Prima delle versioni 1.122.25, 1.136.12 e 1.146.0, vmrestore non convalida i componenti del percorso della parte di backup prima di utilizzare lib/backup/actions/restore.go e lib/backup/fslocal/fslocal.go per scrivere i dati ripristinati sotto storageDataPath. Un attaccante in grado di fornire o modificare una fonte di backup S3, GCS, Azure Blob Storage o altra può inserire componenti ".." nei nomi degli oggetti. Quando un operatore ripristina tale origine, i nomi manipolati possono creare o sovrascrivere file al di fuori della radice di restore prevista all'interno dei permessi del filesystem del processo vmrestore. Questo problema è risolto nelle versioni 1.122.25, 1.136.12 e 1.146.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.