CVE-2026-47261

Wasmtime WebAssembly üçün bir runtime-dır. 24.0.9, 36.0.10 və 44.0.2 versiyalarından əvvəlki versiyalarda, fayl sistemi preopen-nə DirPerms::all() və FilePerms::READ verildikdə və FilePerms::WRITE verilmədikdə, yalnız OpenFlags::TRUNCATE oflag ilə faylı açmaqla wasip2 descriptor.open-at və ya wasip1 path_open interfeysləri vasitəsilə bu giriş nəzarəti mexanizmindən yan keçmək mümkündür. Problemin kökü ondadır ki, crates/wasi/src/filesystem.rs faylında (Dir::open_at, sətirlər 967–969) OpenFlags::TRUNCATE-i idarə edən bənd open_mode |= OpenMode::WRITE; təyin etmir; bu dəyişən daha sonra faylın açılmasına icazə verilib-verilmədiyini müəyyən etmək üçün FilePerms-ə qarşı giriş nəzarəti yoxlamasında istifadə olunur. Tək sətirlik düzəliş həmin çatışmayan mənimsətməni əlavə edir və bundan sonra təsirə məruz qalan çağırışlar müvafiq olaraq error-code.not-permitted və ERRNO_PERM xətaları ilə düzgün şəkildə uğursuz olur. Bu xətadan yalnız DirPerms::MUTATE ilə FilePerms::READ-i birləşdirən wasmtime-wasi embedding-ləri təsirlənir. Xüsusilə, Wasmtime layihəsinin wasmtime-cli tərəfindən wasmtime-wasi istifadəsi buna təsir etmir, çünki o, bütün preopen-lər üçün hər zaman FilePerms::all() təyin edir. Bu problem 24.0.9, 36.0.10 və 44.0.2 versiyalarında aradan qaldırılmışdır.