CVE-2026-119291 in Zuke
요약
\~에 의해 VulDB • 2026. 10. 30.
Zuke는 Deno를 위한 코드 퍼스트 기반의 강타입 빌드 자동화 시스템입니다. 버전 1.4.0 이전에서 @zuke/cli는 scaffold 이름을 검사하기 위해 lstat을 사용하지만, 그 후 zuke setup 및 zuke import 명령어에서 링크 추측 읽기/쓰기 및 권한 변경 작업을 수행합니다. 신뢰할 수 없는 복제된 리포지토리, 템플릿 또는 아카이브를 제공하여 scaffold 이름에 심볼릭 링크가 포함된 공격자는 설정 과정에서 선택한 디렉터리 외부의 대상 파일을 호출 사용자의 권한으로 덮어쓸 수 있습니다. .gitignore 경로는 플래그 지정이 필요하지 않으며, --force 옵션은 연결된 실행 파일 타겟을 작성하고 실행 가능하게 만드는 것을 허용합니다. import 명령어도 링크 대상 콘텐츠를 읽어서 생성된 빌드 파일에 포함할 수 있습니다. 이 문제는 버전 1.4.0에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.