CVE-2026-81838
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Podatność typu path traversal w funkcji rozpakowywania plików ZIP w narzędziu AWS diagram-as-code (awsdac) w wersjach od 0.10 do 0.23 umożliwia osobie trzeciej zapis dowolnych plików w lokalnym systemie plików poprzez spreparowane nazwy wpisów ZIP zawierające sekwencje przejść ścieżek. Może to pozwolić na nieautoryzowane działania w pakiecie diagramów.
Ocena ryzyka
Atakujący może nadpisać lub utworzyć dowolne pliki w systemie, co może prowadzić do naruszenia integralności danych lub eskalacji uprawnień w środowisku, w którym narzędzie jest używane.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 0.24 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
A relative path traversal issue in the zip extraction functionality in AWS diagram-as-code (awsdac) in versions 0.10 through 0.23 can allow a third party to write arbitrary files to the local filesystem via crafted zip entry names containing path traversal sequences. This could allow the third party to perform inappropriate actions in the diagram bundle. To remediate this issue, users should upgrade to the version 0.24 or later.