CVE-2026-49290

Slopsmith, Rocksmith 2014 Custom DLC (CDLC) fayllarını nəzərdən keçirmək, oynamaq və məşq etmək üçün nəzərdə tutulmuş müstəqil veb tətbiqdir. 0.2.9-alpha.5 versiyasından əvvəl, Slopsmith-in arxiv çıxarma modullarındakı yol keçidi (path-traversal) zəifliyi, hücumçuya xüsusi hazırlanmış PSARC və ya sloppak arxivi təqdim etməklə çıxarma kataloqundan kənarda ixtiyari faylların yazılmasına imkan verir. Defolt Docker konfiqurasiyası ilə (root olaraq işlədikdə) və plagin kataloquna fayl yerləşdirmək imkanı ilə bu, host sistemində ixtiyari uzaqdan kodun icrasına gətirib çıxarır. Üç arxiv çıxarıcısı arxiv giriş adlarını yoxlamadan birbaşa çıxarma kökünə birləşdirirdi: `lib/psarc.py::unpack_psarc` — PSARC TOC fayl adları; `lib/patcher.py::unpack_psarc` — patcher axınında yuxarıdakının dublikatı; `lib/sloppak.py::_unpack_zip` — üzv filtri olmayan sadə `ZipFile.extractall()`. Hər biri `..` seqmentləri, mütləq yollar və ya geri slash separatorları ehtiva edən giriş adlarını qəbul edir. Python `zipfile` modulunun defolt `extractall()` funksiyasının çağırıcılar tərəfindən üzv-filtri callback-i təmin edilmədikdə keçidlərin qarşısını almadığı sənədləşdirilib. Versiya 0.2.9-alpha.5 bu problemi aradan qaldırır. Yenilənənə qədər, etibarsız mənbələrdən gələn PSARC və ya sloppak arxivlərini açmayın və Slopsmith instansiyasını ictimai internetə açmayın. Docker istifadəçiləri növbəti slopsmith Docker imici dərc edildikdən sonra ən son imici yükləməlidirlər.