CVE-2026-61625 in VictoriaMetrics
Tóm tắt
Bởi VulDB • 21/08/2026
VictoriaMetrics là một giải pháp có khả năng mở rộng để giám sát và quản lý dữ liệu chuỗi thời gian (time series data). Trước các phiên bản 1.122.25, 1.136.12 và 1.146.0, công cụ vmrestore không xác thực các thành phần đường dẫn của phần backup trước khi sử dụng lib/backup/actions/restore.go và lib/backup/fslocal/fslocal.go để ghi dữ liệu đã khôi phục xuống dưới storageDataPath. Một kẻ tấn công có thể cung cấp hoặc sửa đổi nguồn backup từ S3, GCS, Azure Blob Storage hoặc các dịch vụ khác có thể chèn thành phần .. vào tên đối tượng (object names). Khi một nhà vận hành khôi phục nguồn đó, các tên được tạo ra đặc biệt (crafted) này có thể tạo ra hoặc ghi đè lên các tệp tin nằm ngoài thư mục gốc restore dự kiến, trong phạm vi quyền hạn của tiến trình vmrestore. Vấn đề này đã được sửa chữa trong các phiên bản 1.122.25, 1.136.12 và 1.146.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.