CVE-2026-89065

WysokieCVSS 7.1

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 11/09/2026(UTC)Przetłumaczono: 11/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Względne przejście ścieżki w komponencie czyszczenia manifestu wygenerowanych plików w projen przed wersją 0.101.37 może pozwolić atakującym zależnym od kontekstu na rekurencyjne usuwanie plików i katalogów poza katalogiem projektu, które są zapisywalne przez środowisko uruchamiające projen, poprzez spreparowane wpisy w wersjonowanym manifeście wygenerowanych plików konsumowanym podczas syntezy projektu. Aby usunąć tę podatność, użytkownicy powinni zaktualizować do wersji 0.101.37. Poprawiony mechanizm kontroli zawartości jest automatycznie stosowany przez środowisko uruchomieniowe projen przy następnym uruchomieniu.

Ocena ryzyka

Atakujący może spowodować rekurencyjne usunięcie plików i katalogów poza katalogiem projektu, co może prowadzić do utraty danych lub destabilizacji systemu.

Rekomendacja

Zaktualizuj projen do wersji 0.101.37, która zawiera poprawiony mechanizm kontroli zawartości ścieżek.

Inne podatności w projen

CVE-2026-89066Wysokie
Niewłaściwa neutralizacja znaków specjalnych używanych w poleceniach systemu operacyjnego w komponencie syntezy zadań w projen przed wersją 0.103.0 może pozwolić atakującym zależnym od kontekstu na wykonanie dowolnych poleceń na stacji roboczej dewelopera lub w runnerze ciągłej integracji poprzez metaznaki powłoki w wartościach konfiguracji projektu i nazwach plików repozytorium interpolowanych do generowanych definicji zadań. Aby usunąć tę podatność, użytkownicy powinni zaktualizować do wersji 0.103.0, a następnie ponownie wygenerować projekt, aby plik .projen/tasks.json został odtworzony z poprawionymi definicjami zadań. Sama aktualizacja nie wystarczy, ponieważ wygenerowany plik definicji zadań jest zatwierdzany w repozytorium.

Oryginalny opis (angielski, źródło NVD)

Relative path traversal in the generated file manifest cleanup component in projen before 0.101.37 might allow context-dependent attackers to recursively delete files and directories outside the project directory that are writable by the environment running projen, via crafted entries in the version-controlled generated file manifest that is consumed during project synthesis. To remediate this issue, users should upgrade to version 0.101.37. The corrected containment check is automatically applied by the projen runtime next time you run it.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS