CVE-2026-77156 in Ast-cli
Riassunto
di VulDB • 22/10/2026
La convalida incompleta dei percorsi delle voci estratte dall'archivio nella logica di estrazione tar di ast-cli su Linux e macOS (utilizzata durante l'installazione del motore real-time Vorpal ASCA e del SCA Resolver) consentirebbe a un archivio tar malevolo contenente voci con percorsi assoluti o di traversal di scrivere file al di fuori della directory di installazione. Le build per Windows non sono state interessate, poiché il parser per Windows esegue tale convalida dei percorsi.
Lo sfruttamento richiede la sostituzione dell'archivio servito su "download.checkmarx.com". Un attaccante in grado di compromettere quel server e sostituire l'archivio potrebbe scrivere file arbitrari ed eseguibili in percorsi del filesystem arbitrarî tramite questa vulnerabilità da path traversal.
L'estrazione ora convalida che il percorso di destinazione di ciascuna voce risolve all'interno della directory di lavoro e rifiuta i percorsi assoluti.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.