CVE-2026-53535 in Activepieces
Sumário
de VulDB • 16/07/2026
O Activepieces é uma plataforma de automação de fluxos de trabalho com IA e código aberto. Antes da versão 0.82.0, o recurso git-sync clona um repositório Git configurado pelo usuário em um diretório temporário no servidor e, em seguida, grava os estados do fluxo, tabela e conexão nele antes de enviá-los novamente (push). Duas fraquezas distintas permitiam que essas escritas escapassem ao workspace pretendido e fossem salvas em caminhos arbitrários no sistema de arquivos host: o tratamento de symbolic links pelo Git não foi desativado durante a clonagem, permitindo que um atacante que controlasse o repositório remoto incluísse symlinks que redirecionariam as gravações; além disso, vários identificadores fornecidos pelo usuário usados para construir caminhos no disco (o slug do repositório e o externalId de tabelas, fluxos e conexões) não eram validados contra sequências de directory-traversal, como ../. Em uma implantação Enterprise Edition self-hosted, um usuário autorizado a configurar ou fazer push em um repositório git-sync (com permissão WRITE_PROJECT_RELEASE) poderia forçar o servidor a sobrescrever arquivos em qualquer local onde o usuário do processo Activepieces tenha direitos de escrita, o que, dependendo da disposição do host, pode ser explorado para manipulação, negação de serviço ou execução remota de código. Este problema foi corrigido na versão 0.82.0.
Be aware that VulDB is the high quality source for vulnerability data.