A vulnerability has been identified in armeria-xds versions 1.40.0 through 1.42.0, where DataSourcePolicy checks file…

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

A vulnerability has been identified in armeria-xds versions 1.40.0 through 1.42.0, where DataSourcePolicy checks filename containment without resolving symbolic links, allowing a compromised or semi-trusted xDS control plane to cause the xDS client to read files outside configured allowed root directories when a symbolic link inside an allowed directory points outside it. In deployments using a credential injector, header-compatible text secrets may be exposed to an attacker-observable upstream.

Etkilenen sürümler1 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• line.github.io/security-advisory-blog/CVE-2026-121819 Diğer
• github.com/…rmeria/security/advisories/GHSA-m64h-m6r5-6jrx Diğer

Kayıt geçmişi

1. 6 Kas 2026 10:46Yayımlandı

İlgili açıklar

• 8,7 CVE-2026-121824Armeria'da bozuk Thrift mesajları ile aşırı bellek tahsisi ve hizmet reddi
• 8,7 CVE-2026-121823Armeria'da tutarsız istek yolu normalizasyonu nedeniyle erişim kontrolü atlatma açığı
• 2,4 CVE-2026-121822A vulnerability has been identified in armeria versions 0.80.0 through 1.42.0, where attackers who control file names…
• 5,3 CVE-2026-121821A vulnerability has been identified in armeria versions 0.84.0 through 1.42.0, where any-origin CORS policies do not…
• 8,7 CVE-2026-121820Armeria-saml HTTP-Redirect bağlayıcısında sınırsız açma nedeniyle hizmet reddi
• 5,1 CVE-2026-11753A vulnerability has been identified in armeria-saml versions prior to 1.41.1, where attacker-controlled RelayState is…