CVE-2017-17042

Wysokie

Opublikowano: 28/11/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W wersjach YARD przed 0.9.11, biblioteka lib/yard/core_ext/file.rb nie blokuje ścieżek względnych rozpoczynających się od sekwencji ../, co umożliwia atakującym przeprowadzenie ataków typu directory traversal i odczytanie dowolnych plików.

Ocena ryzyka

Atakujący mogą uzyskać dostęp do wrażliwych plików na serwerze, co może prowadzić do ujawnienia danych lub kompromitacji systemu.

Rekomendacja

Zaleca się aktualizację YARD do wersji 0.9.11 lub nowszej, aby zablokować możliwość ataków typu directory traversal.

Inne podatności w YARD

CVE-2026-49342Średnie
YARD to narzędzie do generowania dokumentacji dla języka Ruby. W wersjach przed 0.9.44, statyczne wyszukiwanie w pamięci podręcznej YARD odczytuje ścieżkę żądania przed oczyszczeniem ścieżki przez router, co może prowadzić do ujawnienia plików HTML poza zamierzonym drzewem statycznym.

Oryginalny opis (angielski, źródło NVD)

lib/yard/core_ext/file.rb in the server in YARD before 0.9.11 does not block relative paths with an initial ../ sequence, which allows attackers to conduct directory traversal attacks and read arbitrary files.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS