CVE-2026-27606
Açıklama
Rollup, JavaScript için bir modül paketleyicidir. Rollup modül paketleyicisinin 2.80.0, 3.30.0 ve 4.59.0 öncesindeki sürümleri (özellikle v4.x ve mevcut kaynak kodda bulunanlar), Path Traversal yoluyla Keyfi Dosya Yazma (Arbitrary File Write) zafiyetine sahiptir. Çekirdek motorundaki güvensiz dosya adı temizleme işlemi, bir saldırganın çıktı dosya adlarını kontrol etmesine (örneğin; CLI adlandırılmış girdiler, manuel chunk takma adları veya kötü amaçlı eklentiler aracılığıyla) ve dizin gezgin sekanslarını (`../`) kullanarak derleme sürecinin izinleri dahilinde ana bilgisayar dosya sistemindeki herhangi bir dosyayı üzerine yazmasına olanak tanır. Bu durum, kritik sistem veya kullanıcı yapılandırma dosyalarının üzerine yazılarak kalıcı Uzaktan Kod Çalıştırma'ya (RCE) yol açabilir. 2.80.0, 3.30.0 ve 4.59.0 sürümleri bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- rollupjs rollup2.80.0, 3.30.0, 4.59.0 ya da sonraki bir sürüm
- rollup2.80.0, 3.30.0, 4.59.0 ya da sonraki bir sürüm
- access.redhat.com/errata/RHSA-2026:13512
- access.redhat.com/errata/RHSA-2026:13508
- access.redhat.com/errata/RHSA-2026:13545
- access.redhat.com/errata/RHSA-2026:6174
- access.redhat.com/errata/RHSA-2026:6802
- access.redhat.com/errata/RHSA-2026:10175
- access.redhat.com/errata/RHSA-2026:8483
- access.redhat.com/errata/RHSA-2026:5132
- access.redhat.com/errata/RHSA-2026:5665
- access.redhat.com/errata/RHSA-2026:5649
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rollupjs rollup | v < 2.80.0, 3.0.0 ≤ v < 3.30.0, 4.0.0 ≤ v < 4.59.0 | 2.80.0, 3.30.0, 4.59.0 |
| rollupnpm | v < 2.80.0, 3.0.0 ≤ v < 3.30.0, 4.0.0 ≤ v < 4.59.0 | 2.80.0, 3.30.0, 4.59.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.