Më 6 nëntor 2026, GitHub publikoi këshillën e sigurisë GHSA-9j25-mm2h-2f76 për një dobësi me rrezikshmëri kritike (CVSS 9.9) në paketën github.com/canonical/lxd të ekosistemit Go.
Paketat e prekura
- github.com/canonical/lxd (Go) — versionet e prekura:
< 0.0.0-20260626085134-124f90100640; versioni me rregullim:0.0.0-20260626085134-124f90100640
Detaje
- Rrezikshmëria: Kritike (CVSS 9.9)
- CWE: CWE-73 (External Control of File Name or Path)
- Identifikuesit: GHSA-9j25-mm2h-2f76
Përmbledhja zyrtare (në anglisht)
LXD has arbitrary file write on host via `exec-output` symlink in crafted image — Reported from https://github.com/lxc/incus/security/advisories/GHSA-48q5-w887-33wv Summary The record-output parameter of the /instances/$name/exec endpoint stores the output of the command in the exec-output directory of the instance. If exec-output is a symlink, file named exec_UUID.stdout and exec_UUID.stderr can be written to an arbitrary location where the .stdout file will contain arbitrary content. This behavior can be abused for arbitrary command execution. Details When an image is unpacked, top-level symlinks are extracted as is; allowing for exec-output to be placed on disk. In instance_exec.go…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin github.com/canonical/lxd, përditësojeni sa më shpejt në versionin 0.0.0-20260626085134-124f90100640 ose më të ri.
