CVE-2026-85199

Eclipse aeriOS Self-orchestrator-in 1.2.1 versiyasından əvvəlki versiyalarında REST API-da yol keçidi (path traversal) zəifliyi mövcuddur. Self-orchestrator resurslarını yaratmaq, yeniləmək və ya silmək üçün istifadə olunan istifadəçi tərəfindən idarə edilən identifikatorlar kifayət qədər yoxlama və ya təmizləmə aparılmadan fayl sistemi yollarına daxil edilmişdir. Buna görə də, Self-orchestrator API-na giriş imkanı olan autentifikasiya olunmamış uzaq hücumçu, Self-orchestrator prosesinin fayl sistemi icazələrinə uyğun olaraq, nəzərdə tutulmuş tətbiq kataloqlarından kənarda JSON fayllarını yazmaq və ya silmək üçün yol keçidi ardıcıllıqları ehtiva edən xüsusi hazırlanmış identifikatorlar təqdim edə bilər. Təsir, zədələnmiş API-da autentifikasiyanın olmaması və zədələnmiş yerləşdirmə konfiqurasiyasında konteynerin yüksəldilmiş imtiyazlarla işləməsi ilə artır. Problem, istifadəçi tərəfindən idarə edilən identifikatorların fayl sistemi yollarını qurmaq üçün istifadə edilməzdən əvvəl yoxlanılması və təmizlənməsinin tətbiqi ilə 1.2.1 versiyasında həll edilmişdir ki, bu da yol ayırıcı simvolların nəzərdə tutulmuş kataloqlardan çıxmaq üçün istifadəsinin qarşısını alır.