CVE-2026-41589
Wish has SCP Path Traversal that allows arbitrary file read/write in charm.land/wish
Beschreibung
Wish ist ein SSH-Server mit Standardwerten und einer Sammlung von Middleware-Komponenten. In der Version von 2.0.0 bis vor 2.0.1 ist die SCP-Middleware in charm.land/wish/v2 anfällig für Pfad-Traversierungs-Angriffe. Ein böswilliger SCP-Client kann beliebige Dateien vom Server lesen, beliebige Dateien auf den Server schreiben und Verzeichnisse außerhalb des konfigurierten Root-Verzeichnisses erstellen, indem er über das SCP-Protokoll speziell gestaltete Dateinamen mit ../-Sequenzen sendet. Dieses Problem wurde in Version 2.0.1 behoben.
Metriken
Weakness-Klassen (CWE)
CWE-22Base
Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
The product uses external input to construct a pathname that is intended to identify a file or directory that is located underneath a restricted parent directory, but the product does not properly neutralize special elements within the pathname that can cause the pathname to resolve to a location that is outside of the restricted directory.
cwe.mitre.org →
Betroffene Produkte
Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.
go
charm.land/wish/v2