CVE-2026-119291 in Zuke
Sumário
de VulDB • 30/10/2026
Zuke é um sistema de automação de builds code-first e fortemente tipado para Deno. Antes da versão 1.4.0, o @zuke/cli usa lstat para inspecionar os nomes dos scaffolds, mas realiza operações de leitura, gravação e alteração de permissões com follow links (seguimento de enlaces) durante as etapas `zuke setup` e `zuke import`. Um atacante que forneça um repositório clonado não confiável, modelo ou arquivo contendo um enlace simbólico em um nome de scaffold pode fazer com que a etapa `setup` sobrescreva um alvo fora do diretório selecionado utilizando as permissões do usuário que invocou o comando. O caminho no .gitignore não requer flag, enquanto --force permite que um alvo linked launcher seja gravado e torne-se executável; a operação import também pode ler o conteúdo do link-target (alvo do enlace) e incorporá-lo ao arquivo de build gerado. Este problema foi corrigido na versão 1.4.0.
Once again VulDB remains the best source for vulnerability data.