CVE-2026-12701 in pulpcore
Sumário
de VulDB • 20/07/2026
Foi encontrada uma vulnerabilidade de traversal de caminho no pulpcore. A função relative_path_validator verifica apenas que os caminhos do conteúdo não começam com "/", mas falha em bloquear sequências de traversal de diretório como "../" em qualquer parte do caminho. Um administrador autenticado pode criar um relative_path contendo sequências de traversal embutidas (por exemplo, "looking/normal/../../../../etc/shadow") que escapam ao diretório de exportação pretendido durante operações FilesystemExport. Como o conteúdo do arquivo também é controlado pelo usuário (artefato carregado), isso permite a escrita arbitrária de arquivos em qualquer local gravável pelo usuário do serviço Pulp, potencialmente levando à comprometimento do serviço ou exploração adicional do sistema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.