CVE-2026-88922

ŚrednieCVSS 6.7

Opublikowano: 15/09/2026(UTC)Zaktualizowano: 20/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.09%

Percentyl 0 - wyżej niż 0% wszystkich znanych CVE

Streszczenie

Biblioteka go-getter w wersjach do 1.8.8 i 2.2.3 jest podatna na eskalację uprawnień w obsłudze dekompresji archiwów, co może pozwolić spreparowanemu archiwum na utworzenie rozpakowanych plików z podwyższonymi bitami uprawnień. Jeśli rozpakowanie wykonuje uprzywilejowany użytkownik, lokalny atakujący może uzyskać uprawnienia procesu rozpakowującego.

Ocena ryzyka

Lokalny atakujący może podnieść swoje uprawnienia do poziomu procesu rozpakowującego archiwum, co może prowadzić do pełnej kompromitacji systemu.

Rekomendacja

Zaktualizuj bibliotekę go-getter do wersji 1.8.9 lub 2.2.4, a także unikaj rozpakowywania niezaufanych archiwów przez uprzywilejowanych użytkowników.

Inne podatności w go-getter

CVE-2026-4660Wysokie
Biblioteka go-getter firmy HashiCorp w wersjach do 1.8.5 umożliwia odczyt dowolnych plików w systemie plików podczas operacji git przy użyciu złośliwie spreparowanego adresu URL. Podatność została naprawiona w wersji 1.8.6.

Oryginalny opis (angielski, źródło NVD)

The go-getter library up to versions 1.8.8 and 2.2.3 is vulnerable to a privilege escalation issue in its archive decompression handling that may allow a crafted archive to cause extracted files to be created with elevated permission bits. Where extraction is performed by a privileged user, this may allow a local actor to obtain the privileges of the extracting process. This vulnerability (CVE-2026-88922) is fixed in go-getter 1.8.9 and 2.2.4.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS