Traversée de chemin dans github.com/openclaw/crabbox (CVE-2026-45224)
Résumé
Traversée de chemin dans github.com/openclaw/crabbox (CVE-2026-45224). Les données peuvent être altérées par des attaquants. Exploitable via sprite. Atténuation : mise à jour vers 0.9.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Crabbox before 0.9.0 contains a path traversal vulnerability in the Islo provider's workspace path resolution that allows attackers to supply absolute or relative paths that resolve outside the intended /workspace directory. Attackers can craft a malicious .crabbox.yaml or crabbox.yaml file with traversal sequences to cause arbitrary file deletion and overwrite when sync.delete is enabled, as the workspace preparation logic executes rm -rf and mkdir -p operations on the resolved path without proper validation.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-45224 a été découverte dans path-traversal.
Des attaquants peuvent cibler un point d'entrée spécifique comme sprite à distance pour détourner le produit.
Les données peuvent être altérées par des attaquants. Score CVSS : 7.1/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « path-traversal CVE-2026-45224 » sur le site de l'éditeur.
CVE-2026-45224 (path-traversal) — CWE-22 / CVSS v3 7.1
Vecteur d'attaque : local / non authentifié
Surface d'attaque : sprite / devbox
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
CrabboxのIsloプロバイダでのワークスペースパス解決におけるパストラバーサルの脆弱性。
Crabboxのバージョン0.9.0未満のIsloプロバイダ。
攻撃者が意図されたディレクトリ外へのパスを供給可能で、重要なファイルの削除や改ざんにつながる可能性があるため。
Crabboxをバージョン0.9.0以降にアップデートする。
sync.deleteを無効化し、信頼できる設定ファイルのみを使用する。
信頼できない設定ファイルが存在していないか確認し、設定でパスが意図しないディレクトリにアクセス可能かどうかを点検する。
Paquets affectés
Références
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com