CVE-2026-12701
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
W pulpcore znaleziono podatność polegającą na przechodzeniu poza katalog (path traversal). Funkcja relative_path_validator sprawdza tylko, czy ścieżki nie zaczynają się od "/", ale nie blokuje sekwencji takich jak "../". Uwierzytelniony administrator może utworzyć relative_path zawierający sekwencje przechodzenia, co pozwala na zapis dowolnego pliku w dowolnej lokalizacji zapisywalnej przez użytkownika usługi Pulp.
Ocena ryzyka
Atakujący może nadpisać krytyczne pliki systemowe, co może prowadzić do przejęcia usługi Pulp i dalszej kompromitacji systemu.
Rekomendacja
Zastosuj poprawki dla pulpcore, które naprawiają walidację ścieżek. Ogranicz uprawnienia administratora i monitoruj operacje eksportu.
Inne podatności w pulpcore
Zobacz wszystkie- CVE-2026-90959Wysokie
W pulpcore znaleziono podatność na przechodzenie po ścieżkach. API przesyłania treści akceptuje parametr 'file_url', który pozwala użytkownikom z uprawnieniami do repozytoriów plików na określenie lokalnego adresu URL pliku do pobrania przez Pulp. Walidacja schematu URL używa porównania prefiksu, które odrzuca tylko adresy zaczynające się od 'file://', ale parser URL w Pythonie rozpoznaje schemat 'file:' bez podwójnych ukośników, co powoduje niezgodność między walidacją a wysyłką do pobierania. Uwierzytelniony użytkownik z niskimi uprawnieniami może użyć spreparowanego URL z sekwencjami przechodzenia po ścieżkach, aby odczytać dowolny plik dostępny dla procesu serwera Pulp. W środowiskach z Pulp Container umożliwia to odczytanie klucza prywatnego podpisującego tokeny rejestru i fałszowanie tokenów, dając nieautoryzowany dostęp do wszystkich prywatnych repozytoriów kontenerów.
- CVE-2026-84232Średnie
W aplikacji serwującej treści pulpcore występuje błąd polegający na tym, że pliki przesłane do repozytoriów typu Pulp są serwowane z ich oryginalnym typem treści (np. text/html dla plików .html, image/svg+xml dla plików .svg) i bez nagłówka Content-Disposition: attachment, gdy używane jest lokalne przechowywanie plików. Uwierzytelniony użytkownik lub atakujący z uprawnieniami do przesyłania treści może przesłać specjalnie spreparowany plik HTML lub SVG zawierający JavaScript, który wykonuje się w przeglądarce każdego użytkownika odwiedzającego URL pliku, co prowadzi do trwałego XSS w kontekście aplikacji hostującej.
Oryginalny opis (angielski, źródło NVD)
A path traversal vulnerability was found in pulpcore. The relative_path_validator function only verifies that content paths do not begin with "/" but fails to block directory traversal sequences such as "../" anywhere in the path. An authenticated administrator can craft a relative_path containing embedded traversal sequences (e.g., "looking/normal/../../../../etc/shadow") that escapes the intended export directory during FilesystemExport operations. Because the file content is also user-controlled (uploaded artifact), this allows arbitrary file write to any location writable by the Pulp service user, potentially leading to service compromise or further system exploitation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS