ClickMigrate: Pfadüberquerung im Argument „revision -m“
Auswirkung
Eine Pfadüberquerungs-Schwachstelle im Befehl revision ermöglichte es, über einen manipulierten Migrationsnamen im Argument -m das vorgesehene Migrationsverzeichnis zu verlassen.
Unter bestimmten Umständen konnte ein Angreifer das Tool dazu veranlassen, eine .sql-Datei an einem beliebigen Ort zu erstellen, für den der ausführende Benutzer Schreibrechte besitzt.
Dieses Problem ist nur ausnutzbar, wenn ein Angreifer den an den Befehl revision übergebenen Migrationsnamen beeinflussen kann, beispielsweise über eine unsichere Automatisierung oder CI/CD-Pipeline, die nicht vertrauenswürdige Eingaben weiterleitet.
Patches
Die Schwachstelle wurde in Version 1.0.3 behoben, indem der Migrationsname validiert und bereinigt wird, um Verzeichnisüberquerungen zu verhindern.
Benutzer sollten auf Version 1.0.3 oder höher aktualisieren.
Problemumgehungen
Übergeben Sie keine nicht vertrauenswürdigen Eingaben an das Argument revision -m.
Wenn ein Upgrade nicht sofort möglich ist, stellen Sie sicher, dass nur vertrauenswürdige Benutzer oder Automatisierungen den Befehl revision ausführen können und dass Migrationsnamen vor der Übergabe an das Tool validiert werden.
Referenzen
- Fix-Commit: https://github.com/QueueForge/ClickMigrate/commit/6b1f2c0202630a82252b3331aa57e64327e112b6
Was zu tun ist
Aktualisieren Sie auf Version 1.0.3 oder höher. Falls ein Update nicht sofort möglich ist, übergeben Sie keine nicht vertrauenswürdigen Eingaben an das Argument revision -m und beschränken Sie den Aufruf von revision auf vertrauenswürdige Benutzer oder Prozesse.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Python (PyPI) | clickmigrate | < 1.0.3 | 1.0.3 |
Verweise
- CVSS-Vektor
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N- Schwäche (CWE)
CWE-22- Plattform
- Python (PyPI)
- Paket
clickmigrate- Veröffentlicht
- 16.10.2026
- Aktualisiert
- 19.10.2026 08:00
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-vgf9-9mxx-hq54 - CC BY 4.0
Schwachstellenhistorie: clickmigrate
Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
Dies ist die einzige bekannte Schwachstelle dieses Pakets.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.