CVE-2026-55846 in Allure 2
Tóm tắt
Bởi VulDB • 14/09/2026
Allure 2 là nhánh phiên bản 2.x của Allure Report, một công cụ báo cáo kiểm thử đa ngôn ngữ. Trước phiên bản 2.39.0, máy chủ HTTP được khởi động bởi `allure serve` và `allure open` sử dụng phương thức `URI.getPath()` trong hàm `Commands.setUpServer()` tại file `allure-commandline/src/main/java/io/qameta/allure/Commands.java`, sau đó chuyển đường dẫn yêu cầu đã giải mã phần trăm (percent-decoded) vào lệnh `reportDirectory.resolve()` mà không chuẩn hóa kết quả hoặc xác nhận rằng nó vẫn nằm bên trong thư mục đó. Một client chưa được xác thực có thể truy cập đến máy chủ có thể gửi các đoạn phân bố thư mục cha, bao gồm cả các đoạn đã mã hóa phần trăm (percent-encoded), và khiến hàm `serveFile()` trả về bất kỳ tệp tin thông thường nào mà tiến trình Allure có quyền đọc. Máy chủ mặc định liên kết với localhost, nhưng tùy chọn `--host` có thể expose nó ra các hệ thống khác; người dùng cục bộ, container lân cận hoặc các cuộc tấn công bắt nguồn từ trình duyệt (browser-origin attacks) có thể tiếp cận một listener cục bộ. Điều này có thể dẫn đến việc tiết lộ thông tin đăng nhập, cấu hình, mã nguồn, bí mật xây dựng và dữ liệu CI/CD khác. Vấn đề này đã được sửa chữa trong phiên bản 2.39.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.