CVE-2026-14967
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Moduł `github_workflows` w BBOT może zostać wykorzystany do zapisania pobranego artefaktu poza skonfigurowanym katalogiem wyjściowym. Sprawdzanie ścieżki nie rozpoznaje sekwencji `..`, więc spreparowany URL `CODE_REPOSITORY` może wyjść poza zamierzony folder.
Ocena ryzyka
Ryzyko polega na możliwości nadpisania plików poza docelowym katalogiem, co może prowadzić do nieautoryzowanej modyfikacji danych lub konfiguracji. Zapis jest ograniczony do dwóch poziomów katalogów powyżej lokalizacji wyjściowej, a cel jest określany przez konfigurację operatora, a nie atakującego.
Rekomendacja
Zaleca się natychmiastową aktualizację BBOT do wersji, która zawiera poprawkę usuwającą podatność na przechodzenie poza katalog. Należy również zweryfikować konfigurację modułu `github_workflows` i ograniczyć uprawnienia zapisu.
Oryginalny opis (angielski, źródło NVD)
BBOT's `github_workflows` module could be induced to write a downloaded artifact outside its configured output directory: its path-containment check did not resolve `..`, so a crafted `CODE_REPOSITORY` URL could traverse out of the intended folder. The write is bounded to two directory levels above the output location and its target is determined by the operator's configuration, not the attacker.