CVE-2026-103060
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Luka w zabezpieczeniach programu Erlang Rebar3 dotycząca nieprawidłowego ograniczenia nazwy ścieżki do ograniczonego katalogu („Przechodzenie ścieżki”) umożliwia wydawcy złośliwego pakietu usunięcie katalogu poza katalogiem _build projektu i wyodrębnienie do niego plików pakietu, gdy programista pobierze zależności.
Zależności wydania pakietu w rejestrze szesnastkowym zawierają pole aplikacji, które określa nazwę aplikacji OTP zależności. rebar3 używa tego pola jako nazwy zależności bez sprawdzania jej (rebar_packages:parse_deps/1) i buduje katalog zależności na podstawie tej nazwy (rebar_app_utils:dep_to_app/7). rebar_fetch:download_source_online/2 usuwa ten katalog za pomocą rm -rf i przenosi do niego pobrany pakiet. hex.pm nie ograniczał tego pola do nazwy katalogu przed 12.10.2026 r., więc wydawca mógł ustawić dla niego wartość taką jak ../../../../target. Kiedy projekt jest bezpośrednio lub przechodnio zależny od takiego wydania, rebar3 get-deps usuwa katalog, do którego odnosi się nazwa, i zapisuje tam pliki zależności. Dzieje się tak przed oceną własnego rebar.config.script zależności i get-deps niczego nie kompiluje.
Ten problem dotyczy rebar3: od 3.7.0-rc1 przed 3.27.2.
>_ Słabości (CWE)
>_ Referencje
- https://cna.erlef.org/cves/CVE-2026-103060.html
- https://github.com/erlang/rebar3/commit/56b7d88975aa8da6446857cfd92de0825024bf63
- https://github.com/erlang/rebar3/commit/e35282b26e499b1d9e8f30bba9dccd71cd8b02ba
- https://github.com/erlang/rebar3/security/advisories/GHSA-6ggr-r7mh-2mv8
- https://osv.dev/vulnerability/EEF-CVE-2026-103060
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org