CVE-2026-90959
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
W Pulpcore odkryto lukę w zabezpieczeniach związaną z przechodzeniem ścieżki. Interfejs API przesyłania treści akceptuje parametr „file_url”, który pozwala użytkownikom z uprawnieniami do repozytorium plików określić adres URL lokalnego pliku, który Pulp będzie mógł pobrać i przechowywać. Sprawdzanie poprawności schematu adresu URL wykorzystuje porównanie prefiksów ciągów znaków, które odrzuca tylko adresy URL zaczynające się od „file://”, ale parser adresów URL Pythona rozpoznaje schemat „file:” bez podwójnych ukośników, tworząc rozbieżność między tym, co jest sprawdzane, a tym, co jest wysyłane do modułu pobierania plików. Uwierzytelniony użytkownik z uprawnieniami do repozytorium o niskich uprawnieniach może dostarczyć specjalnie spreparowany adres URL, korzystając z względnych sekwencji przechodzenia ścieżek, aby odczytać dowolny plik dostępny dla procesu serwera Pulp. W przypadku wdrożeń obejmujących Pulp Container, udana eksploatacja umożliwia atakującemu odczytanie klucza prywatnego podpisującego token rejestru kontenerów i sfałszowanie tokenów nośnika, zapewniając nieautoryzowany dostęp do wszystkich repozytoriów prywatnych kontenerów w rejestrze, którego dotyczy problem.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org