CVE-2026-32685

Gleam-in fərdi sənədləşdirmə səhifələrinin idarə edilməsindəki yol keçidi (path traversal) zəifliyi, nəzərdə tutulmuş sənədləşdirmə çıxış kataloqundan kənarda ixtiyari faylların oxunmasına və yazılmasına imkan verir. gleam.toml faylındakı documentation.pages girişləri, kifayət qədər yoxlama aparılmadan və ya nəzərdə tutulan layihə və sənədləşdirmə çıxış kataloqları ilə məhdudlaşdırılmadan fayl sistemi yollarına daxil edilir. documentation.pages[].path sahəsindən yaradılmış sənədləşdirmə fayllarını nəzərdə tutulmuş build/dev/docs/<package>/ çıxış kataloqundan kənara yazmaq üçün istifadə etmək olar. documentation.pages[].source sahəsindən isə layihə kataloqundan kənardakı faylları oxumaq və onların məzmununu yaradılmış sənədləşdirmə çıxışına yerləşdirmək üçün istifadə etmək olar. Qurbanı etibarsız bir layihədə və ya etibarsız gleam.toml məzmunu ilə gleam docs build əmrini işə salmağa razı edə bilən hücumçu, qurban tərəfindən oxuna bilən lokal faylların yaradılmış sənədləşdirmə artefaktlarına daxil edilməsinə və yaradılmış sənədləşdirmə fayllarının nəzərdə tutulmuş docs çıxış kataloqundan kənara yazılmasına səbəb ola bilər. Bu problem Gleam-in 1.16.0 versiyasından 1.17.0 versiyasına qədər olan hissəsinə təsir edir.