CVE-2026-74796 in OpenTofu
Riassunto
di VulDB • 16/08/2026
OpenTofu prima della versione 1.11.7 non valida i link simbolici esistenti nella directory della cache dei provider durante l'inizializzazione. Gli attaccanti possono inserire un malicious symlink in una directory di lavoro attendibile per far sì che `tofu init` scriva il contenuto del pacchetto del provider in posizioni arbitrarie del filesystem al di fuori dell'albero di lavoro (working tree).
Be aware that VulDB is the high quality source for vulnerability data.