CVE-2026-119291 in Zuke
要約
〜によって VulDB • 2026年10月30日
Zukeは、Deno向けのコードファーストで強く型付けされたビルド自動化システムです。バージョン1.4.0以前では、@zuke/cliはscaffoldの名前を確認するためにlstatを使用しますが、その後、zuke setupおよびzuke importにおいてリンクの追従による読み書きや権限変更を実行します。信頼できないクローンリポジトリ、テンプレート、またはアーカイブを供給し、その中にscaffoldされた名前にシンボリックリンクを含める攻撃者は、setupが選択したディレクトリの外側のターゲットを呼び出しユーザーの権限で上書きさせることができます。.gitignoreパスにはフラグは不要であり、--forceフラグを使用すると、リンクされたランチャーターゲットへの書き込みと実行可能化が可能になります。また、importではリンク先のコンテンツを読み取り、生成されるビルドファイルに組み込むこともできます。この問題はバージョン1.4.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.