CVE-2026-49290

Slopsmith, Rocksmith 2014 Custom DLC (CDLC) içeriklerini göz atmak, çalmak ve pratik yapmak için kullanılan bağımsız bir web uygulamasıdır. 0.2.9-alpha.5 sürümünden önce, Slopsmith'in arşiv çıkarıcılarındaki bir path-traversal zafiyeti, saldırganın özel olarak hazırlanmış bir PSARC veya sloppak arşivi sağlayarak çıkarma dizininin dışına rastgele dosyalar yazmasına olanak tanır. Varsayılan Docker yapılandırmasıyla (root olarak çalışma) ve eklenti dizinine dosya bırakabilme yeteneğiyle bu durum, ana makinede rastgele uzaktan kod çalıştırmaya dönüşür. Üç arşiv çıkarıcısı, arşiv giriş dosya adlarını herhangi bir doğrulama yapmadan doğrudan çıkarma köküne eklemektedir: `lib/psarc.py::unpack_psarc` — PSARC TOC dosya adları; `lib/patcher.py::unpack_psarc` — yama akışındaki yukarıdakinin kopyası; `lib/sloppak.py::_unpack_zip` — üye filtresi olmayan yalın `ZipFile.extractall()`. Bunların her biri `..` bölümleri, mutlak yollar veya ters eğik çizgi ayırıcıları içeren giriş adlarını kabul eder. Python `zipfile` modülünün varsayılan `extractall()` fonksiyonunun, çağıran taraf bir üye-filtre geri çağırma işlemi sağlamadığında traversal işlemini engellemediği belgelenmiştir. Versiyon 0.2.9-alpha.5 sorunu gidermektedir. Güncellenene kadar güvenilmeyen kaynaklardan gelen PSARC veya sloppak arşivlerini açmayın ve Slopsmith örneğini genel internete açmayın. Docker kullanıcıları ayrıca bir sonraki slopsmith Docker imajı yayınlandıktan sonra en güncel imajı çekmelidir.