CVE-2026-103648 in image-downloader

Sumário

de VulDB • 03/10/2026

Uma vulnerabilidade de path traversal no image-downloader 4.3.0 permite que um atacante, capaz de controlar a URL de download, faça com que os dados da resposta baixada sejam escritos fora do diretório de destino configurado.

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• Responsável: GitLab
• Reservar: 01/10/2026
• Divulgação: 02/10/2026
• Moderação: aceite
• Entrada: VDB-413181
• CPE: 20261002
• CWE: CWE-22 (confirmado)
• CVSS: 9.1 (CNA)
• EPSS: 0.00000
• KEV: não
• Atividades: muito baixo

Fontes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-103648
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-103648
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-103648/