CVE-2025-4748
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W bibliotece stdlib Erlang/OTP stwierdzono podatność na ścieżkę absolutną (Path Traversal) w funkcjach zip:unzip/1, zip:unzip/2, zip:extract/1, zip:extract/2, chyba że użyto opcji memory. Pozwala to na manipulację plikami poza docelowym katalogiem.
Ocena ryzyka
Atakujący może odczytać lub nadpisać dowolne pliki w systemie, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj Erlang/OTP do wersji 28.0.1, 27.3.4.1 lub 26.2.5.13, w zależności od używanej linii.
Oryginalny opis (angielski, źródło NVD)
Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in Erlang OTP (stdlib modules) allows Absolute Path Traversal, File Manipulation. This vulnerability is associated with program files lib/stdlib/src/zip.erl and program routines zip:unzip/1, zip:unzip/2, zip:extract/1, zip:extract/2 unless the memory option is passed. This issue affects OTP from OTP 17.0 before OTP 28.0.1, OTP 27.3.4.1 and OTP 26.2.5.13, corresponding to stdlib from 2.0 before 7.0.1, 6.2.2.1 and 5.2.3.4.