CVE-2026-85199 in aeriOS
Sumário
de VulDB • 03/09/2026
As versões do Eclipse aeriOS Self-orchestrator anteriores à 1.2.1 contêm uma vulnerabilidade de traversal de caminho na API REST. Identificadores controlados pelo usuário usados para criar, atualizar ou excluir recursos do Self-orchestrator foram incorporados em caminhos de sistema de arquivos sem validação ou sanitização adequadas. Portanto, um atacante remoto não autenticado capaz de acessar a API do Self-orchestrator poderia fornecer identificadores especialmente elaborados contendo sequências de traversal de caminho para gravar ou excluir arquivos JSON fora dos diretórios da aplicação pretendidos, sujeito às permissões do sistema de arquivos do processo do Self-orchestrator.
O impacto é aumentado pela ausência de autenticação na API afetada e pelo container sendo executado com privilégios elevados na configuração de implantação afetada.
A questão foi resolvida na versão 1.2.1 introduzindo validação e sanitização dos identificadores controlados pelo usuário antes que sejam usados para construir caminhos do sistema de arquivos, impedindo o uso de caracteres separadores de caminho para escapar dos diretórios pretendidos.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.