CVE-2026-12701 in pulpcore
요약
\~에 의해 VulDB • 2026. 07. 21.
pulpcore에서 경로 순회(Path Traversal) 취약점이 발견되었습니다. relative_path_validator 함수는 콘텐츠 경수가 "/"로 시작하지 않는지 여부만 확인하고, 경로 내 어디에 있든 "../"와 같은 디렉토리 순회 시퀀스를 차단하지 못합니다. 인증된 관리자는 FilesystemExport 작업 중 의도적인 내보내기 디렉토리를 벗어나도록 임베디드 순회 시퀀스(예: "looking/normal/../../../../etc/shadow")가 포함된 relative_path를 조작할 수 있습니다. 파일 콘텐츠 또한 사용자 제어 대상(업로드된 아티팩트)이므로, 이는 Pulp 서비스 사용자에게 쓰기 권한이 있는 모든 위치에 대한 임의 파일 쓰기를 허용하며, 이로 인해 서비스 침해 또는 추가적인 시스템 악용으로 이어질 가능성이 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.