CVE-2026-12701

pulpcore-da yol keçmə (path traversal) zəifliyi aşkar edilib. relative_path_validator funksiyası yalnız məzmun yollarının "/" ilə başlamadığını yoxlayır, lakin yolun hər hansı yerində "../" kimi qovluq keçmə ardıcıllıqlarını bloklamır. Autentifikasiyadan keçmiş administrator FilesystemExport əməliyyatları zamanı nəzərdə tutulan ixrac qovluğundan kənara çıxan, daxilində keçmə ardıcıllıqları olan relative_path yarada bilər (məs., "looking/normal/../../../../etc/shadow"). Fayl məzmunu da istifadəçi tərəfindən idarə olunduğundan (yüklənmiş artifact), bu, Pulp xidməti istifadəçisinin yazma icazəsi olan istənilən yerə ixtiyari fayl yazılmasına imkan verir və potensial olaraq xidmətin komprometasiyasına və ya sistemin sonrakı istismarına səbəb ola bilər.