CVE-2026-24686
Təsvir
go-tuf, The Update Framework (TUF)-ın Go implementasiyasıdır. go-tuf-ın TAP 4 Multirepo Client-i lokal metadata keş kataloqunu seçərkən xəritə faylındakı repozitoriya adı sətirindən (`repoName`) fayl sistemi yolu komponenti kimi istifadə edir. Versiya 2.0.0-dan başlayaraq və versiya 2.4.1-dək olan versiyalarda, əgər tətbiq etibarsız mənbədən xəritə faylını qəbul edirsə, hücumçu traversal ehtiva edən bir `repoName` (məsələn, `../escaped-repo`) təqdim edə bilər və bu, go-tuf-ın işləyən prosesin fayl sistemi icazələri daxilində, nəzərdə tutulmuş `LocalMetadataDir` keş bazasının xaricində kataloqlar yaratmasına və kök metadata faylını yazmasına səbəb ola bilər. Versiya 2.4.1-də düzəliş tətbiq edilmişdir.
Necə düzəltmək olar
- theupdateframework go-tuf2.4.1 və ya daha yeni versiya
- github.com/theupdateframework/go-tuf/v22.4.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| theupdateframework go-tuf | 2.0.0 ≤ v < 2.4.1 | 2.4.1 |
| github.com/theupdateframework/go-tuf/v2Go | v < 2.4.1 | 2.4.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.