CVE-2026-41011

PackagePersister.validate_tgz funksiyası "tar -tf #{tgz} 2>&1" əmrini formalaşdırır, burada tgz = File.join(release_dir, 'packages', "#{name}.tgz") və name = package_meta['name'] dəyişəni birbaşa yüklənmiş tarball daxilindəki release.MF faylından gəlir. Bu sətir Bosh::Common::Exec.sh funksiyasına ötürülür və o, %x{} vasitəsilə — yəni /bin/sh -c ilə icra edilir. Heç bir Shellwords.escape tətbiq edilmir. Models::Package Sequel validasiyası (VALID_ID = /^[-0-9A-Za-z_+.]+$/i) adı rədd edərdi, lakin create_package (sətirlər 74–79) funksiyasında save_package_source_blob daxilindəki shell-out prosesi package.save-dən əvvəl işləyir, buna görə də validasiya çox gec baş verir. Təsirə məruz qalan versiyalar: - BOSH: v282.1.12 versiyasına qədər olan bütün versiyalar (daxil olmaqla); v282.1.12 və ya daha yeni versiyalarda düzəldilib.