CVE-2026-27606

Rollup JavaScript üçün modul paketləyicisidir (module bundler). Rollup modul paketləyicisinin 2.80.0, 3.30.0 və 4.59.0 versiyalarından əvvəlki versiyaları (xüsusilə v4.x və cari mənbədə mövcuddur) Path Traversal vasitəsilə ixtiyari fayl yazılmasına (Arbitrary File Write) qarşı həssasdır. Əsas mühərrikdə fayl adlarının təhlükəsiz olmayan təmizlənməsi hücumçuya çıxış fayllarının adlarını idarə etməyə (məsələn, CLI adlandırılmış girişlər, əllə təyin edilmiş chunk alias-ları və ya zərərli plaginlər vasitəsilə) və keçid ardıcıllıqlarından (`../`) istifadə edərək qurma prosesinin icazəyə malik olduğu host fayl sistemində hər hansı faylı yenidən yazmağa imkan verir. Bu, kritik sistem və ya istifadəçi konfiqurasiya fayllarının yenidən yazılması yolu ilə qalıcı uzaqdan kodun icrasına (RCE) səbəb ola bilər. 2.80.0, 3.30.0 və 4.59.0 versiyaları bu problem üçün düzəliş ehtiva edir.