CVE-2026-50567

Fission, Kubernetes üzerinde fonksiyonların ve uygulamaların dağıtımını kolaylaştıran açık kaynaklı, Kubernetes-yerel bir sunucusuz çerçevedir. Versiyon 1.25.0 öncesinde, pkg/utils/zip.go içerisindeki Unarchive, her arşiv giriş adını filepath.Join aracılığıyla hedef dizinle birleştiriyor ve çözümlenen yolun hedef dizinin altında kalıp kalmadığını kontrol etmeden sonucu yazıyordu. Bu nedenle, ../../tmp/evil isimli bir zip girişi /tmp/evil konumuna yazılıyordu. Package.Spec.Source.URL veya Deployment.URL arşivini kontrol edebilen bir saldırgan; getiriciyi (ortam başına pod'un fission-fetcher yan arabası olarak çalışan), o işlemin erişebileceği herhangi bir yere dosya yazmaya zorlayabilirdi: diğer kiracıların /packages/<ns>/ dizinlerine, bağlanan gizli/yapılandırma bölümlerine veya getiricinin kendi ikili dosyasına. Bu sorun versiyon 1.25.0 ile düzeltilmiştir.