CVE-2026-103060

erlang rebar3 üzerindeki Kısıtlı Bir Dizine Yol Adının Uygun Şekilde Sınırlandırılmaması ('Path Traversal') zafiyeti, kötü niyetli bir paket yayıncısının, bir geliştirici bağımlılıkları çektiğinde projenin _build dizini dışındaki bir dizini silmesine ve paket dosyalarını bu dizinin içine çıkarmasına olanak tanır. Bir Hex kayıt defterindeki paket sürümünün bağımlılıkları, bağımlılığın OTP uygulamasını adlandıran bir app alanına sahiptir. rebar3, bu alanı doğrulamadan bağımlılığın adı olarak kullanır (rebar_packages:parse_deps/1) ve bağımlılığın dizinini bu isimden oluşturur (rebar_app_utils:dep_to_app/7). rebar_fetch:download_source_online/2, söz konusu dizini rm -rf ile siler ve çekilen paketi buraya taşır. hex.pm, 2026-10-12 tarihinden önce bu alanı bir dizin adıyla sınırlandırmamıştı; bu nedenle bir yayıncı bunu ../../../../target gibi bir değer olarak ayarlayabilirdi. Bir proje böyle bir sürüme doğrudan veya dolaylı olarak bağımlı olduğunda, rebar3 get-deps işleminin sonucunda ismin çözümlendiği dizin silinir ve bağımlılığın dosyaları oraya yazılır. Bu durum, bağımlılığın kendi rebar.config.script dosyası değerlendirilmeden önce gerçekleşir ve get-deps hiçbir şeyi derlemez. Bu sorun rebar3'ü etkilemektedir: 3.7.0-rc1 sürümünden 3.27.2 öncesine kadar.