CVE-2026-55062

WysokieCVSS 8.4

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

W uniget (uniwersalnym instalatorze i aktualizatorze narzędzi kontenerowych) przed wersją 0.27.6 polecenie hooks edit w cmd/uniget/hooks.go łączy niezwalidowaną nazwę pliku hooka z wybranym katalogiem hooks, umożliwiając komponentom katalogu nadrzędnego wyjście poza ten katalog. Wynikowa ścieżka jest przekazywana do skonfigurowanego edytora, który może uzyskać dostęp lub modyfikować pliki poza katalogiem hooks z uprawnieniami konta procesu uniget. Luka jest naprawiona w wersji 0.27.6.

Ocena ryzyka

Atakujący mogący wpłynąć na nazwę pliku hooka może spowodować, że edytor otworzy lub zmodyfikuje pliki poza katalogiem hooks, potencjalnie prowadząc do nieautoryzowanej modyfikacji plików z uprawnieniami procesu uniget.

Rekomendacja

Zaktualizuj uniget do wersji 0.27.6 lub nowszej. Unikaj używania polecenia hooks edit z niezaufanymi nazwami plików do czasu aktualizacji.

Inne podatności w uniget

CVE-2026-55061Niskie
W uniget przed wersją 0.27.6 polecenie hooks edit w pliku cmd/uniget/hooks.go parsuje zmienną UNIGET_EDITOR lub EDITOR za pomocą strings.Split(editor, " ") i przekazuje każdy sufiks oddzielony spacją jako argument do wybranego edytora. Atakujący mogący wpłynąć na środowisko edytora i spowodować edycję hooka może dostarczyć nieoczekiwane argumenty edytora, potencjalnie powodując niezamierzone działania z uprawnieniami konta procesu uniget. Go os/exec nie interpretuje operatorów powłoki w tych argumentach.

Oryginalny opis (angielski, źródło NVD)

uniget is a universal installer and updater for (container) tools. Prior to 0.27.6, the hooks edit command in cmd/uniget/hooks.go concatenates an unvalidated hook filename with the selected hooks directory, allowing parent-directory components to escape that directory. The resulting path is passed to the configured editor, which can access or modify files outside the hooks directory with the privileges of the uniget process account. This issue is fixed in version 0.27.6.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS