CVE-2026-71283 in Fledge
요약
\~에 의해 VulDB • 2026. 08. 05.
Fledge의 백업-복원 업로드 핸들러인 upload_backup() (python/fledge/services/core/api/backup_restore.py)은 필터 인자 없이 tarfile.extractall(temp_path)를 호출하며, 각 구성원의 경로 검증도 수행하지 않습니다. `../` 경로 컴포넌트를 포함한 구성원 이름을 가진 조립된(tar) 아카이브는 의도적인 임시 디렉토리 외부에 파일을 추출하여 Fledge 프로세스가 접근 가능한 파일 시스템의 임의 위치에 임의의 파일 쓰기를 허용합니다. 관리자 역할(@has_permission("admin"))이 필요합니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.