CVE-2025-22873
ŚrednieStreszczenie
Podatność w pakiecie os standardowej biblioteki Go umożliwia nieprawidłowy dostęp do katalogu nadrzędnego os.Root poprzez otwarcie nazwy pliku kończącej się na "../". Na przykład wywołanie Root.Open("../") otwiera katalog nadrzędny, co stanowi naruszenie ograniczeń dostępu.
Ocena ryzyka
Ryzyko polega na możliwości ominięcia mechanizmu izolacji os.Root, co może prowadzić do nieautoryzowanego dostępu do katalogu nadrzędnego i potencjalnego wycieku danych lub eskalacji uprawnień w aplikacjach korzystających z tej funkcji.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji Go zawierającej poprawkę (np. 1.22.10 lub 1.23.4) oraz weryfikację kodu aplikacji pod kątem użycia os.Root z niebezpiecznymi ścieżkami.
Oryginalny opis (angielski, źródło NVD)
It was possible to improperly access the parent directory of an os.Root by opening a filename ending in "../". For example, Root.Open("../") would open the parent directory of the Root. This escape only permits opening the parent directory itself, not ancestors of the parent or files contained withi