Crabbox contains a path traversal vulnerability in the Islo…(CVE-2026-45224・CVSS 7.1)

概要

Crabbox contains a path traversal vulnerability in the Islo provider's workspace path resolution

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Crabbox before 0.9.0 contains a path traversal vulnerability in the Islo provider's workspace path resolution that allows attackers to supply absolute or relative paths that resolve outside the intended /workspace directory. Attackers can craft a malicious .crabbox.yaml or crabbox.yaml file with traversal sequences to cause arbitrary file deletion and overwrite when sync.delete is enabled, as the workspace preparation logic executes rm -rf and mkdir -p operations on the resolved path without proper validation.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

Crabboxのバージョン0.9.0未満におけるIsloプロバイダのワークスペースパス解決にパストラバーサルの脆弱性があります。攻撃者は意図されたディレクトリ外へのパスを供給し、任意のファイル削除や上書きを行うことが可能です。

❓ 何が問題か

CrabboxのIsloプロバイダでのワークスペースパス解決におけるパストラバーサルの脆弱性。

📍 影響範囲

Crabboxのバージョン0.9.0未満のIsloプロバイダ。

🔥 重要度

攻撃者が意図されたディレクトリ外へのパスを供給可能で、重要なファイルの削除や改ざんにつながる可能性があるため。

🔧 修正方法

Crabboxをバージョン0.9.0以降にアップデートする。

🛡️ 暫定回避

sync.deleteを無効化し、信頼できる設定ファイルのみを使用する。

🔍 検知方法

信頼できない設定ファイルが存在していないか確認し、設定でパスが意図しないディレクトリにアクセス可能かどうかを点検する。

影響パッケージ

go github.com/openclaw/crabbox

[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"0.9.0"}]}]