CVE-2026-47261

Wasmtime, WebAssembly için bir çalışma zamanıdır. 24.0.9, 36.0.10 ve 44.0.2 öncesindeki sürümlerde, bir dosya sistemi ön açımına (preopen) FilePerms::WRITE olmadan DirPerms::all() ve FilePerms::READ verildiğinde, yalnızca OpenFlags::TRUNCATE oflag ile bir dosya açılarak wasip2 descriptor.open-at veya wasip1 path_open arayüzleri aracılığıyla bu erişim kontrol mekanizması atlatılabilir. Temel neden, crates/wasi/src/filesystem.rs (Dir::open_at, satır 967–969) içindeki OpenFlags::TRUNCATE işlemini yöneten yan tümcenin, daha sonra dosyanın açılmasına izin verilip verilmediğini belirlemek için FilePerms'e karşı erişim kontrolü denetiminde kullanılan open_mode |= OpenMode::WRITE; ifadesini ayarlamamış olmasıdır; tek satırlık düzeltme eksik olan bu atamayı ekler ve ardından etkilenen çağrılar sırasıyla error-code.not-permitted ve ERRNO_PERM hata kodlarıyla doğru şekilde başarısız olur. Bu hatadan yalnızca DirPerms::MUTATE ile FilePerms::READ kombinasyonunu kullanan wasmtime-wasi gömmeleri etkilenmektedir. Özellikle, Wasmtime projesinin wasmtime-cli bileşeninin wasmtime-wasi kullanımı, tüm ön açımlar için her zaman FilePerms::all() ayarlandığından etkilenmemektedir. Bu sorun 24.0.9, 36.0.10 ve 44.0.2 sürümlerinde giderilmiştir.