CVE-2026-107716

Banks: Symlink traversal and arbitrary file disclosure/overwrite in DirectoryPromptRegistry

CVSS 3.1High

7.3/ 10.0

Опубликовано

8 октября 2026 г.

Обновлено

9 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2.5.1

Обновите зависимость Banks до версии 2.5.1 или новее.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

В библиотеке шаблонизации Banks класс DirectoryPromptRegistry следует по символическим ссылкам за пределы корневого каталога. Ошибка позволяет читать и перезаписывать произвольные файлы при контроле над директорией шаблонов.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

До версии 2.5.1 методы DirectoryPromptRegistry._scan(), get(), set(), _save() и _load() не проверяют символические ссылки для index.json и файлов .jinja. Атакующий, способный влиять на состав директории шаблонов или её распаковку, перенаправляет файловые операции за пределы корня реестра.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Чтение конфиденциальных файлов хоста (LFI / Information Disclosure) и перезапись произвольных системных или пользовательских файлов с привилегиями приложения.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

mascibanks

все ранние➔Fix: 2.5.1

——

>= 0➔Fix: 2.5.1

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

github.comhttps://github.com/masci/banks/security/advisories/GHSA-556j-vv39-8rqv
github.comhttps://github.com/masci/banks/pull/79
github.comhttps://github.com/masci/banks/commit/23ed13e50b4e217693fa5f9c30943fac8a41582f
github.comhttps://github.com/masci/banks/releases/tag/v2.5.1

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-107716: Banks: Symlink traversal and arbitrary file disclosure/overwrite in DirectoryPromptRegistry. URL: https://cve.futuretools.ru/cve/CVE-2026-107716

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_107716,
  title = {{CVE-2026-107716: Banks: Symlink traversal and arbitrary file disclosure/overwrite in DirectoryPromptRegistry}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-107716}},
  note = {Оперативный инженерный анализ киберугроз}
}