OpenViking contains a Path Traversal vulnerability
OpenViking versions 0.2.1 and prior, fixed in commit 46b3e76, contain a path traversal vulnerability in the .ovpack import handling that allows attackers to write files outside the intended import directory. Attackers can craft malicious ZIP archives with traversal sequences, absolute paths, or drive prefixes in member names to overwrite or create arbitrary files with the importing process privileges.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | openviking | <= 0.2.1 | sin corrección |
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2026-28518
- https://github.com/volcengine/OpenViking/issues/342
- https://github.com/volcengine/OpenViking/commit/46b3e76e28b9b3eee73693720c9ec48820228b72
- https://github.com/volcengine/OpenViking
- https://www.vulncheck.com/advisories/openviking-ovpack-import-zip-slip-path-traversal
- https://pypi.org/project/openviking
- https://github.com/advisories/GHSA-rpqr-j937-6qr9
- Vector CVSS
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Debilidad (CWE)
CWE-22- Plataforma
- Python (PyPI)
- Paquete
openviking- Publicada
- 03.03.2026
- Actualizado
- 11.10.2026 15:17
Fuentes y licencias
OSV / GitHub Advisory Database - PYSEC-2026-2856 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-rpqr-j937-6qr9 - CC BY 4.0
Historial de vulnerabilidades: openviking
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 3
- Primera → última
- 03.2026 04.2026
- Sin corrección
- 1
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 1
- Alta 1
- Media 1
Divulgaciones por año
- 2026: 3
-
OpenViking contains a Path Traversal vulnerability esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.