CVE-2026-55846 in Allure 2
Sumário
de VulDB • 14/09/2026
Allure 2 é o branch da versão 2.x do Allure Report, uma ferramenta de relatórios de testes multi-idioma. Antes da versão 2.39.0, o servidor HTTP iniciado por `allure serve` e `allure open` utiliza `URI.getPath()` em `Commands.setUpServer()`, localizado em `allure-commandline/src/main/java/io/qameta/allure/Commands.java`, e passa o caminho da solicitação decodificado por percentagem para `reportDirectory.resolve()` sem normalizar o resultado ou confirmar que ele permanece dentro desse diretório. Um cliente não autenticado que possa alcançar o servidor pode enviar segmentos de diretório pai, incluindo segmentos codificados por percentagem, fazendo com que `serveFile()` retorne qualquer arquivo regular legível pelo processo Allure. O servidor vincula-se a localhost por padrão, mas a opção `--host` pode expô-lo a outros sistemas; usuários locais, contêineres adjacentes ou ataques de origem no navegador podem alcançar um ouvinte local. Isso pode resultar na divulgação de credenciais, configurações, código-fonte, segredos de build e outros dados CI/CD. Este problema foi corrigido na versão 2.39.0.
Once again VulDB remains the best source for vulnerability data.