CVE-2026-49145
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Podatność w narzędziu App::Ack dla Perla (do wersji 3.10.0) pozwala na odczyt dowolnych plików poprzez opcję --files-from w pliku .ackrc projektu. Ack przeszukuje hierarchię katalogów w poszukiwaniu .ackrc i ładuje jego opcje, a blokada opcji nie obejmuje --files-from, co umożliwia złośliwemu repozytorium odczyt plików poza projektem.
Ocena ryzyka
Ryzyko polega na tym, że użytkownik uruchamiający ack w nieufnym repozytorium może nieświadomie pozwolić na odczyt wrażliwych plików systemowych, których zawartość zostanie wyświetlona w wynikach wyszukiwania.
Rekomendacja
Zaleca się aktualizację App::Ack do wersji 3.10.1 lub nowszej, która dodaje --files-from do listy blokowanych opcji. Jeśli aktualizacja nie jest możliwa, należy unikać uruchamiania ack w nieufnych repozytoriach.
Inne podatności w App::Ack
Zobacz wszystkie- CVE-2026-49147Wysokie
Podatność w narzędziu App::Ack do wersji 3.10.0 dla Perla powoduje wyświetlanie niesanityzowanych sekwencji ucieczki terminala z nazw plików w kilku trybach wyjścia. Gdy ack wypisuje nazwę pliku zawierającą bajty sterujące terminala, takie jak sekwencje ANSI, trafiają one bez zmian do terminala. Wersja 3.10.0 dodała funkcję _safe_filename do sanityzacji nazw w trybach -f, -g, kolorowym nagłówku dopasowania i liniach per-match, ale ścieżki --show-types, -l/-L i -c nadal emitują surową nazwę pliku.
- CVE-2026-49146Wysokie
Podatność w narzędziu App::Ack dla Perla przed wersją 3.10.0 pozwala na wyczerpanie pamięci poprzez nieograniczoną wartość kontekstu w pliku .ackrc projektu. Ack przeszukuje hierarchię katalogów w poszukiwaniu .ackrc i ładuje jego opcje, a opcje -B i -C akceptują dowolną dodatnią liczbę całkowitą, co może prowadzić do alokacji bufora o ogromnym rozmiarze.
Oryginalny opis (angielski, źródło NVD)
App::Ack versions through 3.10.0 for Perl read arbitrary files via --files-from in a project .ackrc. ack searches up the directory hierarchy from the current directory for a project .ackrc and loads its options. The project-source option blocklist in App::Ack::ConfigLoader does not include --files-from, so a project .ackrc can set it to a path whose listed files ack then reads and searches. Version 3.10.0 added --follow to the blocklist; --files-from remains accepted. A project .ackrc committed to an untrusted repository can make ack read files outside the project and print their matching lines.