Allure Report 在附件处理中存在路径遍历漏洞，可能导致任意文件读取 (Allure 1, Allure 2 和 XCTest Readers)

该路径遍历漏洞允许攻击者通过精心设计的测试结果文件（-result.json、-container.json或.plist）访问主机系统上的任意文件。攻击者可以利用此漏洞读取配置文件、密钥文件、源代码或其他敏感数据。成功利用此漏洞可能导致信息泄露，甚至可能允许攻击者进一步控制受影响的系统。由于Allure报告生成器通常用于持续集成和测试流程中，因此该漏洞可能影响多个开发团队和部署环境，造成广泛的安全风险。

Organizations using Allure report generator for test automation and continuous integration/continuous delivery (CI/CD) pipelines are at risk. This includes teams using Java-based testing frameworks and those who store test results in shared locations accessible to multiple users. Legacy systems or environments with outdated software management practices are particularly vulnerable.

• java / server:

find /path/to/allure/results -name '*.json' -mtime -7 -print0 | xargs -0 grep -i '..\..' # Check for path traversal attempts

• generic web: Inspect Allure report generation logs for unusual file access patterns or errors related to file resolution. • java / supply-chain: Review dependencies for vulnerable versions of allure-generator. Use dependency scanning tools to identify instances of Allure report generator versions <= 2.9.0.

1. 2026-03-18Disclosure

   disclosure

1. 已保留2026-03-17
2. 发布日期2026-03-18
3. 修改日期2026-03-25
4. EPSS 更新日期2026-03-28

最有效的缓解措施是立即升级到io.qameta.allure:allure-generator 2.38.0或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：严格控制测试结果文件的来源，确保只有受信任的来源才能提供结果文件；实施输入验证，过滤掉可能导致路径遍历的特殊字符；限制Allure报告生成器运行的权限，使其只能访问必要的文件和目录。升级后，请验证报告生成过程，确认已修复该漏洞。