CVE-2026-62999
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Copier w wersjach od 9.5.0 do 9.16.0 zawiera podatność, która pozwala na ominięcie zaufanego prefiksu repozytorium. Zakodowane procentowo segmenty ścieżki lub separatory w adresie URL szablonu mogą pasować do skonfigurowanego zaufanego prefiksu przed dekodowaniem przez serwer HTTP lub Git, co umożliwia użycie niebezpiecznych funkcji szablonu z repozytorium spoza zaufanego prefiksu po interakcji użytkownika.
Ocena ryzyka
Atakujący może nakłonić użytkownika do użycia szablonu z niebezpiecznego repozytorium, co może prowadzić do wykonania dowolnego kodu lub kradzieży danych. Ryzyko wymaga interakcji użytkownika.
Rekomendacja
Należy zaktualizować Copier do wersji 9.17.0 lub nowszej. Do czasu aktualizacji należy unikać używania szablonów z niezaufanych źródeł i weryfikować adresy URL szablonów.
Inne podatności w Copier
Zobacz wszystkie- CVE-2026-53951Wysokie
Podatność w bibliotece Copier (wersje 9.5.0–9.15.1) pozwala na ominięcie mechanizmu zaufania dla szablonów. Sprawdzanie prefiksu URL odbywa się bez normalizacji ścieżki, podczas gdy pobieranie szablonu już ją normalizuje, co umożliwia użycie sekwencji `..` w celu wskazania innego, złośliwego szablonu. W efekcie kod z `tasks`, `migrations` lub `jinja_extensions` może zostać wykonany bez pytania użytkownika o potwierdzenie zaufania.
- CVE-2026-34730Średnie
Copier przed wersją 9.14.1 zawiera lukę w funkcji _external_data, która pozwala szablonowi na wczytywanie plików YAML ze ścieżek kontrolowanych przez szablon. Złośliwy szablon może odczytać lokalne pliki YAML dostępne dla użytkownika i ujawnić ich zawartość w renderowanym wyniku.
- CVE-2026-34726Średnie
Copier przed wersją 9.14.1 akceptuje nawigację do katalogu nadrzędnego (..) w ustawieniu _subdirectory, co pozwala szablonowi na ucieczkę z własnego katalogu i renderowanie plików z katalogu nadrzędnego bez użycia flagi --UNSAFE.
Oryginalny opis (angielski, źródło NVD)
Copier is a library and CLI app for rendering project templates. From 9.5.0 through 9.16.0, percent-encoded parent-directory segments or encoded path separators in a template URL can match a configured trusted repository prefix before an HTTP server or Git transport decodes the path, allowing unsafe template features from a repository outside the trusted prefix to run after user interaction. This issue is fixed in version 9.17.0.