प्लेटफ़ॉर्म
java
घटक
io.qameta.allure:allure-generator
में ठीक किया गया
2.38.1
2.38.0
io.qameta.allure-generator में एक पथ पारगमन भेद्यता पाई गई है, जो हमलावरों को संवेदनशील फ़ाइलों को पढ़ने की अनुमति देती है। यह भेद्यता तब उत्पन्न होती है जब Allure रिपोर्ट जेनरेटर परीक्षण परिणामों को संसाधित करता है और अनसत्यापित उपयोगकर्ता इनपुट का उपयोग करके अटैचमेंट पथों को हल करता है। प्रभावित संस्करण 2.9.0 और उससे पहले के हैं। इस समस्या को 2.38.0 में ठीक कर दिया गया है।
यह भेद्यता एक हमलावर को Allure रिपोर्ट जेनरेटर द्वारा संसाधित परीक्षण परिणामों में दुर्भावनापूर्ण अटैचमेंट स्रोत को इंगित करने वाली एक विशेष रूप से तैयार की गई फ़ाइल (जैसे -result.json, -container.json, या .plist) प्रदान करने की अनुमति देती है। Path.resolve() फ़ंक्शन का उपयोग करके अटैचमेंट पथों को हल करते समय, Allure अनसत्यापित पथों को हल कर सकता है, जिससे हमलावर होस्ट सिस्टम पर स्थित संवेदनशील फ़ाइलों को पढ़ सकता है। यह जानकारी चोरी हो सकती है, या इसका उपयोग सिस्टम पर आगे के हमले करने के लिए किया जा सकता है। इस भेद्यता का उपयोग करके, एक हमलावर कॉन्फ़िगरेशन फ़ाइलों, पासवर्ड या अन्य संवेदनशील डेटा तक पहुंच प्राप्त कर सकता है।
यह भेद्यता अभी तक KEV में सूचीबद्ध नहीं है, लेकिन CVSS स्कोर 8.6 (HIGH) है, जो मध्यम जोखिम का संकेत देता है। सार्वजनिक रूप से उपलब्ध प्रूफ-ऑफ-कॉन्सेप्ट (POC) अभी तक ज्ञात नहीं हैं, लेकिन भेद्यता का वर्णन स्पष्ट है, और शोषण की संभावना है। CVE को 2026-03-18 को प्रकाशित किया गया था।
Organizations using Allure report generator for test automation and continuous integration/continuous delivery (CI/CD) pipelines are at risk. This includes teams using Java-based testing frameworks and those who store test results in shared locations accessible to multiple users. Legacy systems or environments with outdated software management practices are particularly vulnerable.
• java / server:
find /path/to/allure/results -name '*.json' -mtime -7 -print0 | xargs -0 grep -i '..\..' # Check for path traversal attempts• generic web: Inspect Allure report generation logs for unusual file access patterns or errors related to file resolution. • java / supply-chain: Review dependencies for vulnerable versions of allure-generator. Use dependency scanning tools to identify instances of Allure report generator versions <= 2.9.0.
disclosure
एक्सप्लॉइट स्थिति
EPSS
0.02% (5% शतमक)
CISA SSVC
CVSS वेक्टर
सबसे प्रभावी शमन उपाय io.qameta.allure-generator को संस्करण 2.38.0 या बाद के संस्करण में अपग्रेड करना है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, परीक्षण परिणामों में अटैचमेंट पथों को मान्य करने के लिए एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग किया जा सकता है। इसके अतिरिक्त, Allure रिपोर्ट पीढ़ी प्रक्रिया के लिए उपयोग किए जाने वाले इनपुट को सीमित करने के लिए कॉन्फ़िगरेशन परिवर्तन किए जा सकते हैं। अटैचमेंट पथों को मान्य करने के लिए नियमित अभिव्यक्ति का उपयोग करना एक संभावित कार्य-इन-आसानी है। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, एक परीक्षण परिणाम फ़ाइल प्रदान करके जिसमें एक दुर्भावनापूर्ण पथ है और रिपोर्ट पीढ़ी को फिर से चलाकर।
Actualice Allure Report a la versión 2.38.0 o superior. Esta versión corrige la vulnerabilidad de lectura arbitraria de archivos mediante path traversal. La actualización evitará que atacantes puedan acceder a archivos sensibles en el sistema host durante la generación de informes.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2026-33166 io.qameta.allure-generator में एक पथ पारगमन भेद्यता है जो हमलावरों को संवेदनशील फ़ाइलों को पढ़ने की अनुमति देती है।
यदि आप io.qameta.allure-generator के संस्करण 2.9.0 या उससे पहले का उपयोग कर रहे हैं, तो आप प्रभावित हैं।
io.qameta.allure-generator को संस्करण 2.38.0 या बाद के संस्करण में अपग्रेड करें।
CVE-2026-33166 का सक्रिय शोषण अभी तक ज्ञात नहीं है, लेकिन शोषण की संभावना है।
आधिकारिक सलाहकार के लिए io.qameta की वेबसाइट देखें।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
अपनी pom.xml फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।