Salto de directorio en el argumento "revision -m" de ClickMigrate
Impacto
Una vulnerabilidad de salto de directorio (path traversal) en el comando revision permitía que un nombre de migración manipulado, suministrado a través del argumento -m, escapara del directorio de migraciones previsto.
Bajo condiciones específicas, un atacante podría provocar que la herramienta cree un archivo .sql en una ubicación arbitraria en la que el usuario que ejecuta el comando tenga permisos de escritura.
Este problema solo es explotable si un atacante puede influir en el nombre de la migración que se pasa al comando revision, por ejemplo a través de una automatización o canalización de CI/CD insegura que reenvíe entradas no confiables.
Parches
La vulnerabilidad ha sido corregida en la versión 1.0.3 mediante la validación y saneamiento del nombre de la migración para evitar el salto de directorio.
Los usuarios deben actualizar a la versión 1.0.3 o posterior.
Mitigaciones alternativas
No pase entradas que no sean de confianza al argumento revision -m.
Si no es posible actualizar de inmediato, asegúrese de que únicamente usuarios o sistemas de automatización confiables puedan invocar el comando revision y de que los nombres de las migraciones se validen antes de pasarse a la herramienta.
Referencias
- Commit de corrección: https://github.com/QueueForge/ClickMigrate/commit/6b1f2c0202630a82252b3331aa57e64327e112b6
Qué hacer
Actualice a la versión 1.0.3 o posterior. Si no es posible actualizar de inmediato, evite pasar datos no confiables al argumento revision -m y garantice que solo usuarios o automatizaciones fiables ejecuten el comando revision.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | clickmigrate | < 1.0.3 | 1.0.3 |
Referencias
- Vector CVSS
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N- Debilidad (CWE)
CWE-22- Plataforma
- Python (PyPI)
- Paquete
clickmigrate- Publicada
- 16.10.2026
- Actualizado
- 19.10.2026 08:00
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-vgf9-9mxx-hq54 - CC BY 4.0
Historial de vulnerabilidades: clickmigrate
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
Esta es la única vulnerabilidad conocida de este paquete.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.