CVE-2026-56857

KrytyczneCVSS 9.8

Opublikowano: 08/10/2026(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Na systemie Windows, gdy celem operacji Root.Mkdir lub Root.MkdirAll jest dowiązanie (junction) wskazujące na pustą lokalizację, operacja może utworzyć katalog w miejscu docelowym dowiązania, nawet jeśli to miejsce znajduje się poza katalogiem głównym. Dotyczy to tylko operacji, gdzie ostatni element ścieżki jest dowiązaniem (ścieżka/dowiązanie, ale nie ścieżka/dowiązanie/cel).

Ocena ryzyka

Atakujący może wykorzystać tę podatność do tworzenia katalogów poza dozwolonym obszarem, co może prowadzić do nieautoryzowanego dostępu do danych lub eskalacji uprawnień.

Rekomendacja

Zaktualizuj oprogramowanie do wersji, która zawiera poprawkę dla tej podatności. Dodatkowo, ogranicz użycie operacji Root.Mkdir i Root.MkdirAll na ścieżkach zawierających dowiązania.

Inne podatności w Root

CVE-2026-24812Krytyczne
Podatność w root-project root (do wersji 6.36.00-rc1) w module inftrees.C (zlib). Nie określono dokładnego typu, ale może prowadzić do nieprawidłowego działania.

Oryginalny opis (angielski, źródło NVD)

On Windows, when the target of Root.Mkdir or Root.MkdirAll is a junction pointing to an empty location, the operation can create a directory at the junction target even when that target is located outside the root. This only applies to operations where the last path component is a junction (path/to/junction, but not path/junction/target).

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS