CVE-2026-109965

Yüksek

Açıklama

2.0.0 öncesindeki Serena, saldırganların bir depo içerisine sembolik bağlantılar (symlink) ekleyerek proje kök dizinin dışındaki dosyalara erişmesine olanak tanıyan hatalı bir bağlantı çözümleme zafiyeti içermektedir. Project.is_path_in_project() fonksiyonu, sembolik bağlantıları çözmeden yolları sözlüksel olarak normalize eder; bu nedenle read_file ve create_text_file gibi dosya araçları, SSH anahtarları veya bulut kimlik bilgileri gibi dosyaları okuyabilir veya üzerine yazabilir.

ÖnemYüksek

CVSS7.1

İstismar olasılığı—

ÜrünOraios Serena

Yayın13 Eki 2026

İlk görülme13 Eki 2026

Zayıflık türüCWE-59Bağlantı izleme hatası

Nasıl düzeltilir

Güncelleyin

oraios serena2.0.0 ya da sonraki bir sürüm

Yamalar

github.com/oraios/serena/commit/6f20f9b822d85bb063008e786f808d04619dd54e

Üretici duyuruları

github.com/oraios/serena/releases/tag/v2.0.0

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
oraios serena	v < 2.0.0	2.0.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.