GHSA-H4FR-CMH5-QR62
Fallow: A `.*` glob segment let an analyzed repository make Fallow test paths in the parent of the project root
CVSS 3.1Low
N/A/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 3.34.0
Обновите Fallow до версии 3.34.0 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Fallow допускает обход каталога через glob-шаблоны вида `.*`, `.?` и `..*`. Это позволяет злоумышленнику проверять существование файлов за пределами корня проекта.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В версиях до 3.34.0 Fallow раскрывает glob-шаблоны из анализируемого репозитория с помощью crate `glob`. Библиотека сопоставляет спецзапись `..` с сегментами, начинающимися с точки, что обходит внутреннюю валидацию путей.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Утечка метаданных файловой системы: контролируя репозиторий и имея доступ к выводу анализатора (CI-логи, комментарии к PR), атакующий может зондировать наличие файлов в родительской директории.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
——
>= 0➔Fix: 3.34.0
——
>= 0➔Fix: 3.34.0
——
>= 0➔Fix: 3.34.0
——
>= 0➔Fix: 3.34.0
——
>= 0➔Fix: 3.34.0
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/fallow-rs/fallow/security/advisories/GHSA-h4fr-cmh5-qr62
- github.comhttps://github.com/fallow-rs/fallow/pull/3548
- github.comhttps://github.com/fallow-rs/fallow/commit/133d4c862c74f4b1f0a7417c65b7157c1144294d
- github.comhttps://github.com/fallow-rs/fallow
- github.comhttps://github.com/fallow-rs/fallow/releases/tag/v3.34.0
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости GHSA-H4FR-CMH5-QR62: Fallow: A `.*` glob segment let an analyzed repository make Fallow test paths in the parent of the project root. URL: https://cve.futuretools.ru/cve/GHSA-H4FR-CMH5-QR62
BibTeX формат (LaTeX)
@misc{cve_futuretools_ghsa_h4fr_cmh5_qr62,
title = {{GHSA-H4FR-CMH5-QR62: Fallow: A `.*` glob segment let an analyzed repository make Fallow test paths in the parent of the project root}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/GHSA-H4FR-CMH5-QR62}},
note = {Оперативный инженерный анализ киберугроз}
}