गिट निर्भरता प्रबंधन में अनुचित पथ सत्यापन मनमाना फ़ाइल सिस्टम संशोधन की अनुमति देता है

CVE-2026-32146 Gleam कंपाइलर में एक फ़ाइल सिस्टम संशोधन भेद्यता प्रस्तुत करता है। यह Git निर्भरताओं को संभालने में अनुचित पथ सत्यापन के कारण होता है। Gleam कंपाइलर, gleam.toml और manifest.toml से निर्भरता समाधान के दौरान, इच्छित निर्भरता निर्देशिका के बाहर फ़ाइल सिस्टम स्थानों को लक्षित करने के लिए सापेक्ष पथ ट्रैवर्सल अनुक्रमों (जैसे ../) या पूर्ण पथों का उपयोग करके हमलावर द्वारा शोषण किया जा सकने वाला पर्याप्त सत्यापन के बिना फ़ाइल सिस्टम पथों में निर्भरता नामों को शामिल करता है। गंभीरता इस संभावना में निहित है कि एक हमलावर अप्रत्याशित स्थानों पर फ़ाइलों को लिख सकता है, संभावित रूप से सिस्टम अखंडता से समझौता कर सकता है या यदि सफलतापूर्वक शोषण किया जाता है तो दुर्भावनापूर्ण कोड निष्पादन को सक्षम कर सकता है। हालांकि कोई सक्रिय शोषण की सूचना नहीं दी गई है, लेकिन भेद्यता की प्रकृति इसे एक महत्वपूर्ण जोखिम बनाती है।

1. आरक्षित2026-03-10
2. प्रकाशित2026-04-11
3. संशोधित2026-05-04
4. EPSS अद्यतन2026-04-19

इस भेद्यता के लिए समाधान Gleam कंपाइलर को संस्करण 1.15.4-scratch में अपग्रेड करना है। इस संस्करण में बेहतर पथ सत्यापन शामिल है जो निर्भरता डाउनलोड के दौरान हमलावरों को फ़ाइल पथों में हेरफेर करने से रोकता है। जोखिम को कम करने के लिए तत्काल अपग्रेड की दृढ़ता से अनुशंसा की जाती है। इसके अतिरिक्त, Gleam परियोजनाओं में उपयोग किए जा रहे निर्भरताओं की समीक्षा करें ताकि यह सुनिश्चित किया जा सके कि कोई दुर्भावनापूर्ण निर्भरता नाम उपयोग नहीं किया जा रहा है जिसे शोषण किया जा सकता है। निर्भरता डाउनलोड प्रक्रिया से संबंधित सिस्टम लॉग में असामान्य गतिविधि की निगरानी भी संभावित शोषण प्रयासों का पता लगाने में मदद कर सकती है। अपग्रेड सबसे महत्वपूर्ण निवारक उपाय है।