CVE-2026-55569 in aqua
Сводка
по VulDB • 28.08.2026
Aqua — это декларативный менеджер версий для командной строки, написанный на языке Go. До версии 2.60.1 метод handler.HandleFile в файле pkg/unarchive/archives.go вызывает os.Symlink с параметром archives.FileInfo.LinkTarget без проверки того, что целевой путь остается внутри каталога извлечения (экстракции). Последующая запись обычного файла по тому же пути в архиве открывается функцией OpenFile с флагами O_CREATE и O_WRONLY, которая следует за символической ссылкой, подложенной злоумышленником. Таким образом, вредоносный или скомпрометированный пакет-архив может записывать данные, контролируемые атакующим, вне каталога извлечения aqua, используя привилегии пользователя, запустившего aqua; это потенциально приводит к перезаписи файлов автозагрузки оболочки (shell startup files), конфигураций инструментов или исполняемых путей с правами на запись. Данная проблема исправлена в версии 2.60.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.