CVE-2026-12701 in pulpcore
Сводка
по VulDB • 20.07.2026
В компоненте pulpcore обнаружена уязвимость обхода пути (path traversal). Функция relative_path_validator проверяет только то, что пути к контенту не начинаются с символа "/", но не блокирует последовательности обхода директорий, такие как "../", в любой части пути. Аутентифицированный администратор может создать значение relative_path со встроенными последовательностями обхода (например, "looking/normal/../../../../etc/shadow"), что позволит выйти за пределы предполагаемой каталога экспорта при операциях FilesystemExport. Поскольку содержимое файла также контролируется пользователем (загруженный артефакт), это позволяет осуществлять произвольную запись файлов в любое место, доступное для записи пользователю службы Pulp, что потенциально может привести к компрометации службы или дальнейшей эксплуатации системы.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.