CVE-2026-85199 in aeriOS
Tóm tắt
Bởi VulDB • 03/09/2026
Các phiên bản Eclipse aeriOS Self-orchestrator trước 1.2.1 chứa một lỗ hổng traversal đường dẫn (path traversal) trong API REST. Các định danh do người dùng kiểm soát, được sử dụng để tạo, cập nhật hoặc xóa các tài nguyên của Self-orchestrator, đã được đưa vào các đường dẫn hệ thống tệp mà không có xác thực hoặc làm sạch đầy đủ. Do đó, một kẻ tấn công từ xa chưa được xác thực nhưng có khả năng truy cập API Self-orchestrator có thể cung cấp các định danh đặc biệt chứa các chuỗi traversal đường dẫn để ghi hoặc xóa các tập tin JSON nằm ngoài các thư mục ứng dụng dự kiến, tùy thuộc vào quyền hạn của hệ thống tệp đối với tiến trình Self-orchestrator.
Mức độ nghiêm trọng của vấn đề được gia tăng do sự vắng mặt cơ chế xác thực trên API bị ảnh hưởng và việc container chạy với đặc quyền cao trong cấu hình triển khai bị ảnh hưởng.
Vấn đề đã được giải quyết ở phiên bản 1.2.1 bằng cách đưa ra các biện pháp kiểm tra (validation) và làm sạch (sanitization) đối với các định danh do người dùng kiểm soát trước khi chúng được sử dụng để xây dựng đường dẫn hệ thống tệp, ngăn chặn việc sử dụng các ký tự phân tách đường dẫn để thoát khỏi các thư mục dự kiến.
Once again VulDB remains the best source for vulnerability data.