CVE-2026-55846

ŚrednieCVSS 6.2

Opublikowano: 14/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Allure 2 przed wersją 2.39.0 zawiera podatność typu path traversal w serwerze HTTP uruchamianym przez allure serve i allure open. Funkcja Commands.setUpServer() używa URI.getPath() i przekazuje zdekodowaną ścieżkę do reportDirectory.resolve() bez normalizacji wyniku ani sprawdzenia, czy pozostaje w tym katalogu. Nieuwierzytelniony klient, który może dotrzeć do serwera, może przesłać segmenty ścieżki nadrzędnej, w tym zakodowane procentowo, i spowodować, że serveFile() zwróci dowolny plik regularny odczytywalny przez proces Allure. Serwer domyślnie wiąże się z localhost, ale opcja --host może go wystawić na inne systemy, a lokalni użytkownicy, sąsiednie kontenery lub ataki z przeglądarki mogą dotrzeć do lokalnego nasłuchiwania. Może to ujawnić poświadczenia, konfigurację, kod źródłowy, sekrety budowania i inne dane CI/CD.

Ocena ryzyka

Podatność umożliwia nieautoryzowany odczyt dowolnych plików z systemu, co może prowadzić do ujawnienia wrażliwych danych, takich jak poświadczenia, konfiguracje czy sekrety CI/CD.

Rekomendacja

Zaleca się aktualizację Allure do wersji 2.39.0 lub nowszej oraz unikanie wystawiania serwera na inne systemy, jeśli nie jest to konieczne.

Inne podatności w Allure 2

CVE-2026-55847Średnie
Allure 2 przed wersją 2.39.0 zawiera podatność XSS w helperze ansi.js, który przekazuje wartości statusMessage i statusTrace kontrolowane przez atakującego przez AnsiToHtml bez escapowania HTML i opakowuje wynik w Handlebars SafeString, wyłączając automatyczne escapowanie w szablonie status-details.hbs. JunitXmlPlugin.java może wypełnić te pola bezpośrednio z spreparowanych wiadomości i śladów JUnit XML, a podobne wejścia istnieją w pluginach TRX, xUnit XML, xctest oraz Allure1 i Allure2. Gdy użytkownik przegląda szczegóły statusu, nieescapowany markup wykonuje dowolny JavaScript w kontekście raportu, co może ujawnić dane raportu i naruszyć sesje powiązane z tym kontekstem. Jest to niekompletna poprawka, ponieważ PR 3271 escapował helpery linków, ale nie uwzględnił helpera ANSI.

Oryginalny opis (angielski, źródło NVD)

Allure 2 is the version 2.x branch of Allure Report, a multi-language test reporting tool. Prior to 2.39.0, the HTTP server started by allure serve and allure open uses URI.getPath() in Commands.setUpServer() in allure-commandline/src/main/java/io/qameta/allure/Commands.java and passes the percent-decoded request path to reportDirectory.resolve() without normalizing the result or confirming that it remains inside that directory. An unauthenticated client that can reach the server can submit parent-directory segments, including percent-encoded segments, and cause serveFile() to return any regular file readable by the Allure process. The server binds to localhost by default, but the --host option can expose it to other systems, and local users, adjacent containers, or browser-origin attacks may reach a local listener. This can disclose credentials, configuration, source code, build secrets, and other CI/CD data. This issue is fixed in version 2.39.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS