Średni Odebrany

CVE-2026-77156

opublikowano: 22.10.2026, 20:17

modyfikacja: 22.10.2026, 20:17

Ocena CVSS

6.3

Średni · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Niekompletna weryfikacja wyodrębnionych ścieżek wpisów archiwalnych w logice wyodrębniania tar programu ast-cli w systemie Linux i macOS (używana podczas instalacji silnika czasu rzeczywistego Vorpal ASCA i narzędzia do rozpoznawania SCA) umożliwiłaby złośliwemu archiwum tar zawierającemu wpisy ścieżek bezwzględnych lub przechodnich zapisanie plików poza katalogiem instalacyjnym. Nie miało to wpływu na kompilacje systemu Windows, ponieważ ekstraktor systemu Windows sprawdza tę ścieżkę.

Eksploatacja wymagała podmiany archiwum udostępnianego pod adresem „download.checkmarx.com”. Osoba atakująca, która będzie w stanie złamać zabezpieczenia tego serwera i zastąpić archiwum, może w ten sposób zapisać dowolne pliki wykonywalne w dowolnych ścieżkach systemu plików.

Wyodrębnianie sprawdza teraz, czy ścieżka docelowa każdego wpisu jest rozpoznawana w katalogu roboczym i odrzuca ścieżki bezwzględne.

>_ Słabości (CWE)

CWE-22

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve