Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-22

CVE-2026-53980

Charmbracelet Wish git ara katmanında dizin geçişi (path traversal) açığı

charmbracelet wish

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
6 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, Wish ile çalışan uzaktan erişimli git sunucularında yetkisiz kişilerin sunucudaki diğer depolara ulaşmasına yol açabilir. Kimlik doğrulaması yapılmış kullanıcılar bile sistemin geri kalanındaki verilere erişebileceği için risk yüksektir. Yazılım güncellemesi hızla uygulanmalıdır.

ÖzetTürkçe

Charmbracelet Wish kütüphanesinin 2.0.5 öncesi sürümlerinde, git ara katmanındaki (charm.land/wish/v2) yol doğrulaması yetersizdir. Bu nedenle kimliği doğrulanmış SSH kullanıcıları, yapılandırılmış depo dizininden çıkarak hazırlanmış depo yollarıyla diğer depolara erişebilir. Etkilenen, Wish ile git sunucusu çalıştıran sistemlerdir.

Saldırgan ne yapabilir?

Saldırgan, yapılandırılan kök dizin dışındaki keyfi depoları okuyabilir veya üzerlerine yazabilir. Windows üzerinde yazılan özel yollar bu korumayı tamamen aşabilir.

Kaynaktaki açıklama (İngilizce)

Charmbracelet wish before 2.0.5 contains a path traversal vulnerability in the git middleware (charm.land/wish/v2) that allows authenticated SSH users to escape the configured repository directory by supplying crafted repo paths that bypass a flawed forward-slash-count containment check in git.Middleware(). Attackers can use a single-depth path ../evil, or on Windows a payload ..\..\evil that defeats the slash-count guard entirely, to read or write arbitrary repositories outside the intended root via git-upload-pack, git-upload-archive, or git-receive-pack.

Ne yapmalı?

  1. Wish kütüphanesini 2.0.5 veya daha yeni bir sürüme yükseltin. Üretici
  2. Güncellemeden sonra uygulamayı yeniden derleyin ve yeniden başlatın. Genel öneri
  3. Güncelleme yapılana kadar git ara katmanını kullanan erişimleri geçici olarak kısıtlayın veya kimlik doğrulaması olan kullanıcı sayısını azaltın. Genel öneri

Ek önlemler

  • Git depolarının kök dizinini, uygulamanın diğer verilerinden ayrı ve en az yetkiyle çalışan bir kullanıcı altında tutun. Genel öneri
  • Depo dizinleri dışındaki dosyalara erişim denemelerini ve olağandışı git işlemlerini günlüklerden izleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
charmbracelet wish < 2.0.5 2.0.5

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.