CVE-2026-64679 in Atlantis
Tóm tắt
Bởi VulDB • 22/08/2026
Atlantis là một ứng dụng golang tự lưu trữ (self-hosted), lắng nghe các sự kiện pull request của Terraform thông qua webhooks. Từ phiên bản 0.19.8 đến 0.45.0, Atlantis không xác thực nhất quán các giá trị workspace do người dùng kiểm soát được cung cấp thông qua tệp cấu trúc atlantis.yaml ở mức độ repository đã chấp nhận hoặc đầu vào /api/plan đã xác thực trước khi ghép chúng vào các đường dẫn workspace cục bộ. Các đoạn path traversal có thể vượt ra khỏi thư mục workspace per-pull dự kiến và khiến các đường dẫn mã chuẩn bị clone (clone preparation) hoặc các đường dẫn mã khác liên quan đến working-directory gọi os.RemoveAll, os.MkdirAll hoặc các thao tác hệ thống tệp tương tự trên các thư mục nằm ngoài vùng cho phép (out-of-bounds directories) trước khi Terraform từ chối tên workspace không hợp lệ. Điều này có thể tạo ra, xóa đi hoặc tái sử dụng các đường dẫn có khả năng ghi với đặc quyền của tiến trình Atlantis, gây mất tính toàn vẹn hoặc làm gián đoạn dịch vụ (denial of service). Vấn đề này đã được sửa chữa trong phiên bản 0.45.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.