CVE-2026-32146

Gleam derleyicisinin git bağımlılıklarını işleme sürecindeki hatalı yol doğrulama zafiyeti, bağımlılık indirme sırasında rastgele dosya sistemi değişikliğine izin verir. gleam.toml ve manifest.toml dosyalarındaki bağımlılık adları, yeterli doğrulama yapılmadan veya hedeflenen bağımlılık diziniyle sınırlandırılmadan dosya sistemi yollarına dahil edilir; bu durum, saldırgan tarafından kontrol edilen yolların (../ gibi göreceli geçişler veya mutlak yollar aracılığıyla) söz konusu dizin dışındaki dosya sistemi konumlarını hedeflemesine olanak tanır. Git bağımlılıkları çözümlenirken (örneğin gleam deps download aracılığıyla), hesaplanan yol, dizin silme ve oluşturma dahil olmak üzere dosya sistemi işlemleri için kullanılır. Bu zafiyet, genellikle yalnızca kısıtlanmış bir dizin içinde bağımlılıkların getirilmesi ve hazırlanmasıyla sınırlı olması beklenen bağımlılık çözümleme ve indirme aşamasında meydana gelir. Kötü niyetli bir doğrudan veya geçişli git bağımlılığı, bu sorunu kullanarak hedeflenen bağımlılık dizini dışındaki rastgele dizinleri (saldırgan tarafından seçilen mutlak yollar dahil) silmek ve üzerine yazmak için kullanabilir, bu da potansiyel olarak veri kaybına neden olabilir. Bazı ortamlarda bu durum, örneğin git hook'larının veya kabuk yapılandırma dosyalarının üzerine yazılarak kod çalıştırmak için daha ileri düzeyde kullanılabilir. Bu sorun, 1.9.0-rc1 ile 1.15.4 arasındaki Gleam sürümlerini etkilemektedir.