CVE-2026-85199

Eclipse aeriOS Self-orchestrator'ın 1.2.1 öncesindeki sürümleri, REST API'de bir path traversal zafiyeti içermektedir. Self-orchestrator kaynaklarını oluşturmak, güncellemek veya silmek için kullanılan kullanıcı kontrollü tanımlayıcılar, yeterli doğrulama veya temizleme yapılmadan dosya sistemi yollarına dahil edilmiştir. Bu nedenle, Self-orchestrator API'sine erişebilen kimliği doğrulanmamış uzak bir saldırgan, Self-orchestrator işleminin dosya sistemi izinlerine bağlı olarak, hedeflenen uygulama dizinlerinin dışındaki JSON dosyalarını yazmak veya silmek için path traversal dizileri içeren özel olarak hazırlanmış tanımlayıcılar sağlayabilir. Etkilenen API'de kimlik doğrulamanın olmaması ve etkilenen dağıtım yapılandırmasında konteynerin yüksek ayrıcalıklarla çalışması etkiyi artırmaktadır. Sorun, kullanıcı kontrollü tanımlayıcıların dosya sistemi yollarını oluşturmak için kullanılmadan önce doğrulanması ve temizlenmesi sağlanarak, yol ayırıcı karakterlerin hedeflenen dizinlerden çıkmak için kullanılmasının engellenmesiyle 1.2.1 sürümünde giderilmiştir.