CVE-2026-12701 in pulpcore
要約
〜によって VulDB • 2026年07月20日
pulpcoreでパストラバーサル脆弱性が発見されました。relative_path_validator関数は、コンテンツパスが「/」で始まらないことを確認するのみであり、パス内のどこにでもディレクトリトラバースシーケンス（例：「../」）が含まれることをブロックしません。認証済み管理者は、FilesystemExport操作中に意図されたエクスポートディレクトリから脱出するような、埋め込みのトラバースシーケンスを含むrelative_path（例：「looking/normal/../../../../etc/shadow」）を作成できます。ファイルコンテンツもユーザーが制御可能であるため（アップロード済みアーティファクト）、Pulpサービスユーザーによって書き込み可能な任意の場所への任意のファイル書き込みが可能となり、サービスの侵害やさらなるシステムのエクスプロイトにつながる可能性があります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.