یک آسیب‌پذیری امنیتی از نوع Path Traversal در پروژه Pulpcore شناسایی شده است که تحت شناسه CVE-2026-90959 ثبت گردیده و شدت آن HIGH ارزیابی شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در API مربوط به آپلود محتوا (Content Upload) رخ می‌دهد. در این بخش، پارامتر file_url به کاربرانی که دارای دسترسی‌های مخزن فایل (File Repository Privileges) هستند اجازه می‌دهد تا یک URL برای دانلود و ذخیره‌سازی فایل توسط Pulp تعیین کنند.
مشکل اصلی در مکانیزم اعتبارسنجی طرح URL (URL Scheme Validation) نهفته است. سیستم تنها URLهایی را که با پیشوند file:// شروع می‌شوند رد می‌کند. با این حال، تحلیل‌گر URL در زبان Python طرح file: را حتی بدون وجود دو اسلش (Double Slashes) شناسایی می‌کند. این تفاوت در نحوه تفسیر رشته‌ها، باعث ایجاد یک شکاف امنیتی (Mismatch) بین مرحله اعتبارسنجی و مرحله دانلود فایل می‌شود.
تاثیرات احتمالی
- دسترسی به فایل‌های حساس: مهاجم می‌تواند با دور زدن فیلترها، فایل‌های محلی سیستم میزبان را فراخوانی کرده و آن‌ها را در مخزن ذخیره کند.
- نشت اطلاعات: این آسیب‌پذیری می‌تواند منجر به افشای فایل‌های پیکربندی یا داده‌های حساس سیستم شود.
