CVE-2026-55846 in Allure 2
要約
〜によって VulDB • 2026年09月14日
Allure 2は、マルチ言語のテストレポートツールである Allure Report のバージョン2.xブランチです。バージョン2.39.0より前では、`allure serve` および `allure open` によって起動されるHTTPサーバーは、`allure-commandline/src/main/java/io/qameta/allure/Commands.java` 内の `Commands.setUpServer()` で `URI.getPath()` を使用し、パーセントデコードされたリクエストパスを正規化せずに、またはそのパスがディレクトリの内部に留まっていることを確認することなく `reportDirectory.resolve()` に渡します。サーバーに到達可能な認証不要のクライアントは、親ディレクトリへのセグメント（パーセントエンコーディングされたものを含む）を送信し、`serveFile()` を介して Allure プロセスが読み取り可能な任意の通常ファイルを返させることができます。デフォルトではサーバーは localhost にバインドされますが、`--host` オプションを使用すると他のシステムに公開され、ローカルユーザーや隣接するコンテナ、ブラウザ由来のアタックなどがローカリスナーに到達する可能性があります。これにより、資格情報、設定ファイル、ソースコード、ビルドシークレット、およびその他のCI/CDデータが漏洩する恐れがあります。この問題はバージョン2.39.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.