CVE-2026-103060

erlang rebar3 proqramında məhdudlaşdırılmış kataloga yol adının yanlış məhdudlaşdırılması ('Path Traversal') zəifliyi, bədniyyətli paket nəşrcisinə tərtibatçı asılılıqları əldə etdikdə layihənin _build kataloqundan kənarda olan bir kataloqu silməyə və paket fayllarını həmin kataloqa çıxarmağa imkan verir. Hex reyestrindəki paket buraxılışının asılılıqları, asılılığın OTP tətbiqini adlandıran 'app' sahəsinə malikdir. rebar3 bu sahəni yoxlamadan (rebar_packages:parse_deps/1) asılılığın adı kimi istifadə edir və asılılığın kataloqunu həmin ad əsasında qurur (rebar_app_utils:dep_to_app/7). rebar_fetch:download_source_online/2 funksiyası həmin kataloqu 'rm -rf' ilə silir və yüklənmiş paketi ora köçürür. hex.pm 2026-10-12 tarixinə qədər bu sahəni kataloq adı ilə məhdudlaşdırmamışdı, buna görə də nəşrcisi onu ../../../../target kimi bir dəyərə təyin edə bilərdi. Layihə belə bir buraxılışa birbaşa və ya dolayı yolla asılı olduqda, 'rebar3 get-deps' adın yönləndirdiyi kataloqu silir və asılılığın fayllarını oraya yazır. Bu proses asılılığın öz rebar.config.script faylı qiymətləndirilməzdən əvvəl baş verir və 'get-deps' heç nəyi kompilyasiya etmir. Bu problem rebar3 versiyalarını əhatə edir: 3.7.0-rc1-dən 3.27.2-yə qədər.