CVE-2026-43965

Gleam'in bağımlılık yönetimindeki bir yol aşımı (path traversal) zafiyeti, kötü amaçlı build/packages/packages.toml içeriği aracılığıyla rastgele dizinlerin silinmesine izin vermektedir. LocalPackages::read_from_disc tarafından build/packages/packages.toml dosyasından okunan paket anahtarları, herhangi bir doğrulama yapılmadan, proje derleme dizini ile saldırgan kontrollü anahtarı birleştirerek bir dosya sistemi yolu oluşturan paths.build_packages_package() fonksiyonuna aktarılır. Oluşan yol daha sonra (remove_dir_all fonksiyonunu çağıran) fs::delete_directory fonksiyonuna iletilir. Yolun hedeflenen build/packages/ dizini içinde kaldığından emin olmak için hiçbir kontrol gerçekleştirilmez. Hem mutlak yollar hem de göreceli aşım dizileri (örneğin ../) paket anahtarları olarak kabul edilerek rastgele dizinlerin silinmesine olanak tanır. Kurbanın, kötü amaçlı bir build/packages/packages.toml içeren bir projede (örneğin normalde gitignore edilen bu dosyanın bir depoya eklenmesiyle) gleam deps download komutunu çalıştırmasını sağlayabilen bir saldırgan, kurbanın sistemindeki rastgele dizinlerin özyinelemeli olarak silinmesine neden olabilir. Bu sorun, 0.18.0-rc1 ile 1.17.0 arasındaki Gleam sürümlerini etkilemektedir.