CVE-2026-85731

oras-go, OCI artifaktlarını yönetmek için kullanılan bir Go kütüphanesidir. 2.6.2 sürümünden önce, io.deis.oras.content.unpack=true olarak işaretlenmiş OCI katmanlarının content/file.Store çıkarımı, depolama çalışma dizininin dışına yazabilir. extractTarDirectory ve ensureLinkPath üzerinden gelen pushDir yolu sembolik bağlantı hedeflerini sözcükle doğrular, resolveRelToBase kök düzeyindeki girişler için üst sembolik bağlantı yürütmesini atlar ve writeFile normal bir dosyayı açarken uç bir sembolik bağlantıyı takip eder. Bu nedenle kötü niyetli bir arşiv, sözcük hedefi çıkarma kökünde kalan ancak çözümlenmiş hedefi saldırgan tarafından seçilen mutlak bir yol olan bir sembolik bağlantı zinciri oluşturabilir ve ardından AllowPathTraversalOnWrite false olsa bile bu hedefi aynı isimli normal bir dosya girişiyle üzerine yazabilir. Saldırgan kontrollü bir artifaktın çekilmesi, işlem tarafından yazılabilir herhangi bir dosyanın oluşturulmasına veya üzerine yazılmasına neden olabilir ve kod çalıştırılmasıyla sonuçlanabilir. Bu sorun 2.6.2 sürümünde düzeltilmiştir.