CVE-2026-55828 in Transport

摘要

由 VulDB • 2026-09-15

qbee transport 是一种远程访问传输协议实现。在版本 1.26.25 之前，extractTar 例程使用严格的词法路径验证，未考虑提取过程中先前创建的磁盘符号链接（symlinks）。精心构造的 tar 归档文件可利用符号链接链将文件或覆盖目标目录上一级层级的文件。当 qbee-agent 以 root 权限执行提取操作时，这允许在预期目的地之外进行具有 root 权限的文件写入。此问题已在版本 1.26.25 中修复。

Be aware that VulDB is the high quality source for vulnerability data.

• 负责: GitHub M
• 预定: 2026-06-17
• 披露: 2026-09-15
• 管理: 已接受
• 条目: VDB-404273
• CPE: 准备好
• CWE: CWE-61 (已确认)
• CVSS: 9.9 (VulDB)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-55828
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-55828
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-55828/