CVE-2026-103975

Appium, W3C WebDriver protokolu əsasında qurulmuş bütün növ tətbiqlər üçün çarpaylı platformalı avtomatlaşdırma freymvorkudur. 7.2.6 versiyasından əvvəl, @appium/support ZIP çıxarılması prosesi, çıxarma kataloqundan kənarda olan yerə simvolik keçid (symbolic link) yaradan arxiv elementini qəbul edir və daha sonra həmin keçid vasitəsilə həll olunan legitim adlı adi fayl elementini qəbul edir. Leksikal ehtiva yoxlaması simvolik keçidin hədəfini və ya real təyinat yerini təsdiqləmədən element adlarını yoxlayır, buna görə də hücumçu tərəfindən idarə olunan arxiv, Appium prosesinin yazı yazmaq imkanı olduğu istənilən yerə faylları yaza bilər. Bu, 7.0.6 versiyasında düzəldilən əvvəlki valideyn kataloq elementi adına keçid (traversal) problemindən fərqlidir, çünki bu yan keçmə üsulu heç bir valideyn kataloq və ya mütləq element adından istifadə etmir. Yazıla bilən təyinat yerindən asılı olaraq, istənilən faylın yazılması konfiqurasiyanı, start skriptlərini və ya icra edilə bilən faylları əvəz edə bilər və kodun icrasına səbəb ola bilər. Bu problem 7.2.6 versiyasında düzəldilmişdir.