CVE-2026-59510

AIL Framework-ın PDF obyektlərinin emalı mexanizmində yol keçmə (path traversal) zəifliyi mövcuddur. 14c618fce4d1df02358717c48ea903706abecdf2 commitindən əvvəl PDF.get_filepath() funksiyası fayl yolunu konfiqurasiya edilmiş PDF saxlama qovluğu ilə PDF obyekt identifikatorundan əldə edilən yolun birləşdirilməsi yolu ilə qururdu və nəticədə alınan yolun nəzərdə tutulan PDF_FOLDER qovluğunun daxilində qaldığını yoxlamırdı. PDF obyekt əməliyyatlarını hazırlanmış identifikatorla çağıra bilən autentifikasiyadan keçmiş hücumçu nisbi keçmə ardıcıllıqlarından və ya mütləq yol komponentlərindən istifadə edərək AIL Framework-ın PDF saxlama qovluğundan kənarda yerləşən faylları açmasına səbəb ola bilərdi. Bu, AIL prosesi tərəfindən oxuna bilən faylların, o cümlədən tətbiqin konfiqurasiyasının, etimadnamələrin və ya digər həssas yerli məlumatların açıqlanmasına imkan verə bilərdi. Bu zəiflik icra edilə bilməzdən əvvəl mövcud olan əlavə xətalar səbəbindən potensial xarakter daşıyır. Düzəliş nəticədə alınan yolu os.path.realpath() ilə kanonikləşdirir və ümumi qovluğu konfiqurasiya edilmiş PDF qovluğundan kənarda olan yolları rədd edir.