CVE-2026-4660

WysokieCVSS 7.5

Opublikowano: 09/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.58%

Percentyl 48 - wyżej niż 48% wszystkich znanych CVE

Streszczenie

Biblioteka go-getter firmy HashiCorp w wersjach do 1.8.5 umożliwia odczyt dowolnych plików w systemie plików podczas operacji git przy użyciu złośliwie spreparowanego adresu URL. Podatność została naprawiona w wersji 1.8.6.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do odczytu poufnych plików w systemie, co może prowadzić do wycieku danych lub eskalacji uprawnień.

Rekomendacja

Należy niezwłocznie zaktualizować bibliotekę go-getter do wersji 1.8.6 lub nowszej. W przypadku korzystania z gałęzi v2 podatność nie dotyczy.

Inne podatności w go-getter

CVE-2026-88922Średnie
Biblioteka go-getter w wersjach do 1.8.8 i 2.2.3 jest podatna na eskalację uprawnień w obsłudze dekompresji archiwów, co może pozwolić spreparowanemu archiwum na utworzenie rozpakowanych plików z podwyższonymi bitami uprawnień. Jeśli rozpakowanie wykonuje uprzywilejowany użytkownik, lokalny atakujący może uzyskać uprawnienia procesu rozpakowującego.

Oryginalny opis (angielski, źródło NVD)

HashiCorp’s go-getter library up to v1.8.5 may allow arbitrary file reads on the file system during certain git operations through a maliciously crafted URL. This vulnerability, CVE-2026-4660, is fixed in go-getter v1.8.6. This vulnerability does not affect the go-getter/v2 branch and package.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS