CVE-2026-50163

oras-go, OCI artefaktlarını yönetmek için kullanılan bir Go kütüphanesidir. 2.6.2 sürümünden önce, content/file/utils.go:262-275 konumundaki ensureLinkPath fonksiyonu, bir hardlink hedefini ayıklama tabanına göre doğrular ancak çözümlenmemiş hedefi döndürür; bu durum, io.deis.oras.content.unpack: "true" ile Name=payload.tar.gz/evil_cwd_link ve Linkname="victim.secret" gibi bir Typeflag=TypeLink girişi için os.Link("victim.secret", "<extract_base>/payload.tar.gz/evil_cwd_link") işleminin, header.Linkname'i sürecin mevcut çalışma dizinine göre çözümlemesine neden olur. Bu durum .env, .git/config, .aws/credentials ve ~/.ssh/config gibi dosyaların açığa çıkmasına veya değiştirilmesine yol açabilir. Bu sorun 2.6.2 sürümünde düzeltilmiştir.