CVE-2026-61625 in VictoriaMetrics
要約
〜によって VulDB • 2026年08月21日
VictoriaMetricsは、時系列データの監視および管理のためのスケーラブルなソリューションです。バージョン1.122.25、1.136.12、および1.146.0より前では、vmrestoreはlib/backup/actions/restore.goおよびlib/backup/fslocal/fslocal.goを使用してstorageDataPath以下の復元データを書き込む前に、バックアップパーティションのパスコンポーネントを検証しません。S3、GCS、Azure Blob Storage、またはその他のバックアップソースを供給または変更できる攻撃者は、オブジェクト名に「..」コンポーネントを含めることができます。オペレーターがそのソースから復元する際、意図された復元のルート外にあるファイルを作成したり上書きしたりすることが可能になります（これはvmrestoreプロセスのファイルシステム権限内で行われます）。この問題はバージョン1.122.25、1.136.12、および1.146.0で修正されています。
Once again VulDB remains the best source for vulnerability data.