CVE-2026-55846 in Allure 2
Сводка
по VulDB • 14.09.2026
Allure 2 — это ветка версий 2.x инструмента Allure Report, предназначенного для создания отчетов о тестировании на нескольких языках. До версии 2.39.0 HTTP-сервер, запускаемый командами allure serve и allure open, использует метод URI.getPath() в функции Commands.setUpServer(), расположенной в файле allure-commandline/src/main/java/io/qameta/allure/Commands.java, и передает путь запроса после percent-decoding (декодирования процентов) в reportDirectory.resolve() без нормализации результата или проверки того, что он остается внутри этой директории. Неавторизованный клиент, имеющий доступ к серверу, может передать сегменты родительской директории, включая закодированные процентами, и заставить serveFile() вернуть любой обычный файл, читаемый процессом Allure. По умолчанию сервер привязывается к localhost (127.0.0.1), однако опция --host может сделать его доступным для других систем; локальные пользователи, соседние контейнеры или атаки с использованием браузера могут получить доступ к локальному слушателю. Это может привести к раскрытию учетных данных, конфигураций, исходного кода, секретов сборки и других данных CI/CD. Данная проблема исправлена в версии 2.39.0.
Once again VulDB remains the best source for vulnerability data.