CVE-2026-14967
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Moduł `github_workflows` w BBOT może zostać wykorzystany do zapisania pobranego artefaktu poza skonfigurowanym katalogiem wyjściowym. Sprawdzanie ścieżki nie rozpoznaje sekwencji `..`, więc spreparowany URL `CODE_REPOSITORY` może wyjść poza zamierzony folder.
Ocena ryzyka
Ryzyko polega na możliwości nadpisania plików poza docelowym katalogiem, co może prowadzić do nieautoryzowanej modyfikacji danych lub konfiguracji. Zapis jest ograniczony do dwóch poziomów katalogów powyżej lokalizacji wyjściowej, a cel jest określany przez konfigurację operatora, a nie atakującego.
Rekomendacja
Zaleca się natychmiastową aktualizację BBOT do wersji, która zawiera poprawkę usuwającą podatność na przechodzenie poza katalog. Należy również zweryfikować konfigurację modułu `github_workflows` i ograniczyć uprawnienia zapisu.
Inne podatności w BBOT
Zobacz wszystkie- CVE-2026-14966Niskie
Podatność w module unarchive narzędzia BBOT polega na tym, że dla archiwów zip i 7z nie wykrywa on dowiązań symbolicznych, których lista zawiera prefiks DOS-attribute przed trybem uniksowym, co jest charakterystyczne dla starszych wersji p7zip. W rezultacie archiwum pobrane i rozpakowane podczas skanowania (np. przez filedownload) omija zabezpieczenie i pozwala na zapisanie dowiązania symbolicznego kontrolowanego przez atakującego w katalogu docelowym.
- CVE-2025-10282Średnie
Moduł gitlab w BBOT może zostać wykorzystany do ujawnienia klucza API GitLab na serwer kontrolowany przez atakującego za pomocą złośliwie sformatowanego adresu URL Git.
- CVE-2025-10281Średnie
Moduł git_clone w BBOT może zostać wykorzystany do ujawnienia klucza API GitHub na serwer kontrolowany przez atakującego za pomocą złośliwie sformatowanego adresu URL Git.
Oryginalny opis (angielski, źródło NVD)
BBOT's `github_workflows` module could be induced to write a downloaded artifact outside its configured output directory: its path-containment check did not resolve `..`, so a crafted `CODE_REPOSITORY` URL could traverse out of the intended folder. The write is bounded to two directory levels above the output location and its target is determined by the operator's configuration, not the attacker.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS