CVE-2026-85731

oras-go OCI artefaktlarını idarə etmək üçün nəzərdə tutulmuş Go kitabxanasıdır. 2.6.2 versiyasından əvvəl, io.deis.oras.content.unpack=true olaraq işarələnmiş OCI laylarının content/file.Store vasitəsilə çıxarılması zamanı məlumatlar store işçi kataloqundan kənara yazıla bilər. extractTarDirectory və ensureLinkPath vasitəsilə ötürülən pushDir yolu simvolik keçidlərin hədəflərini leksik olaraq yoxlayır, resolveRelToBase kök səviyyəli elementlər üçün valideyn-simvolik keçid gəzişini ötürür və writeFile adi faylı açarkən sonuncu simvolik keçidi izləyir. Buna görə də, zərərli arxiv leksik hədəfi çıxarma kökündə qalan, lakin həll olunmuş hədəfi hücumçunun seçdiyi mütləq yol olan bir simvolik keçid zənciri yarada bilər və AllowPathTraversalOnWrite false olsa belə, həmin hədəfi eyni adlı adi fayl elementi ilə əvəzləyə bilər. Hücumçu tərəfindən idarə olunan artefaktın çəkilməsi proses tərəfindən yazıla bilən istənilən faylın yaradılmasına və ya üzərinə yazılmasına səbəb ola bilər və bu da kodun icrasına gətirib çıxara bilər. Bu problem 2.6.2 versiyasında düzəldilmişdir.