CVE-2026-43965

Gleam-in asılılıqların idarə edilməsi mexanizmindəki yol keçidi (path traversal) zəifliyi, zərərli build/packages/packages.toml məzmunu vasitəsilə istənilən kataloqun silinməsinə şərait yaradır. LocalPackages::read_from_disc tərəfindən build/packages/packages.toml faylından oxunan paket açarları heç bir yoxlama aparılmadan paths.build_packages_package() funksiyasına ötürülür və bu funksiya layihənin build kataloqunu hücum edən tərəf tərəfindən idarə olunan açarla birləşdirərək fayl sistemi yolu yaradır. Nəticədə alınan yol daha sonra fs::delete_directory (hansı ki, remove_dir_all funksiyasını çağırır) funksiyasına ötürülür. Yolun təyin olunmuş build/packages/ kataloqu daxilində qaldığını təmin etmək üçün heç bir yoxlama aparılmır. Həm mütləq yollar, həm də nisbi keçid ardıcıllıqları (məsələn, ../) paket açarı kimi qəbul edilir ki, bu da istənilən kataloqun silinməsinə imkan verir. Qurbanın zərərli build/packages/packages.toml faylı olan layihədə gleam deps download əmrini icra etməsini təmin edə bilən hücumçu (məsələn, normalda gitignore siyahısında olan faylı repozitoriyaya əlavə etməklə), qurbanın sistemindəki istənilən kataloqların rekursiv şəkildə silinməsinə səbəb ola bilər. Bu problem Gleam-in 0.18.0-rc1 versiyasından 1.17.0 versiyasına qədər olan hissəsinə təsir edir.