CVE-2026-81716
Açıklama
openssl_encrypt (pip: openssl-encrypt) 1.4.9 öncesi sürümler, PluginSandbox._is_safe_path fonksiyonunda, yalın bir dize ön eki eşleşmesi kullanarak dosya erişimine izin veren bir dizinlemesine geçiş (path traversal) açığı içermektedir. READ_FILES iznine sahip olmayan kum havuzuyla sınırlandırılmış bir eklenti, yalnızca isim ön ekini paylaşan başka bir eklentinin dizinine (örneğin, izin verilen .../plugins/foo ile eşleşen .../plugins/foobar) okuma veya yazma işlemi gerçekleştirebilir ve böylece aynı kullanıcı kapsamındaki eklenti bazlı izolasyonu bozabilir. Bu sorun, her izin verilen dizinin tam olarak veya sonunda bir yol ayırıcı olacak şekilde eşleştirilmesiyle giderilmiştir.
Nasıl düzeltilir
- jahlives openssl_encrypt1.4.9 ya da sonraki bir sürüm
- openssl-encrypt1.4.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jahlives openssl_encrypt | v < 1.4.9 | 1.4.9 |
| openssl-encryptPyPI | v < 1.4.9 | 1.4.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.