CVE-2026-10303

ServerCo getssl versiya 2.49 və daha əvvəlki versiyalarda, klientə qaytarılan ACME challenge tokeni, challenge-fayllarının idarə edilməsində istifadə edilməzdən əvvəl RFC 8555 standartına uyğun olaraq ciddi şəkildə yoxlanılmamışdır ki, bu da zərərli şəkildə hazırlanmış tokenin təsdiqləmə zamanı lokal yol/fayl adının istifadəsinə təsir göstərməsinə şərait yaradır. getssl-ə ACME challenge cavablarını təmin edə bilən hücumçu (məsələn, zərərli və ya kompromisə uğramış CA son nöqtəsi və ya həmin cavab yoluna müdaxilə edə bilən on-path rəqib), bundan icazəsiz fayl yazma/yol keçidi (path traversal) effektləri əldə etmək üçün istifadə edə bilər ki, bu da adətən yüksəldilmiş imtiyazlarla baş verir və nəticədə uzaqdan əmr injeksiyasına imkan verir. Bu problem mahiyyətcə CVE-2023-38198 ilə əlaqəli görünür və CWE-73, "Fayl adının və ya yolunun xarici idarəetməsi" nümunəsidir. Digər ACME shell skript handler-ləri də oxşar problemlərdən təsirlənmiş ola bilər.