CVE-2026-122235

Jan 0.8.5 before 0.8.8 Workspace Guard Bypass via Dangling Symlink

CVSS 3.1Medium

5.7/ 10.0

Опубликовано

4 ноября 2026 г.

Обновлено

4 ноября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновите Jan до версии 0.8.8 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Обход ограничений рабочей области в Jan позволяет перезаписывать файлы за пределами каталога проекта.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В модуле agent-tools gate.rs инструменты записи и редактирования переходят по висячим символическим ссылкам при обработке вредоносного репозитория через инъекцию промпта.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Запись произвольных файлов на хосте за пределами рабочей области, включая ~/.ssh/authorized_keys.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)

github.comhttps://github.com/janhq/jan/security/advisories/GHSA-7j4g-mj5j-p842
github.comhttps://github.com/janhq/jan/pull/9424
github.comhttps://github.com/janhq/jan/commit/840c33e65182ba9975d32f710c5d111e25444b65
github.comhttps://github.com/janhq/jan/releases/tag/v0.8.8
www.vulncheck.comhttps://www.vulncheck.com/advisories/jan-0.8.5-before-0.8.8-workspace-guard-bypass-via-dangling-symlink

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-122235: Jan 0.8.5 before 0.8.8 Workspace Guard Bypass via Dangling Symlink. URL: https://cve.futuretools.ru/cve/CVE-2026-122235

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_122235,
  title = {{CVE-2026-122235: Jan 0.8.5 before 0.8.8 Workspace Guard Bypass via Dangling Symlink}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-122235}},
  note = {Оперативный инженерный анализ киберугроз}
}