Przejście przez katalogi w argumencie „revision -m” w ClickMigrate
Wpływ
Luka typu path traversal w poleceniu revision pozwalała, aby spreparowana nazwa migracji podana w argumencie -m wykraczała poza docelowy katalog migracji.
W określonych warunkach osoba atakująca mogła doprowadzić do utworzenia przez narzędzie pliku .sql w dowolnej lokalizacji z prawem do zapisu przez użytkownika wykonującego polecenie.
Problem ten można wykorzystać tylko wtedy, gdy atakujący ma wpływ na nazwę migracji przekazywaną do polecenia revision, na przykład za pośrednictwem niezabezpieczonej automatyzacji lub potoku CI/CD przekazującego niezaufane dane wejściowe.
Poprawki
Luka została naprawiona w wersji 1.0.3 poprzez walidację i oczyszczanie nazwy migracji w celu zapobiegania przechodzeniu przez katalogi.
Użytkownicy powinni dokonać aktualizacji do wersji 1.0.3 lub nowszej.
Obejścia
Nie należy przekazywać niezaufanych danych wejściowych do argumentu revision -m.
Jeśli natychmiastowa aktualizacja nie jest możliwa, należy upewnić się, że tylko zaufani użytkownicy lub procesy automatyzacji mogą wywoływać polecenie revision, a nazwy migracji są weryfikowane przed przekazaniem ich do narzędzia.
Referencje
- Commit naprawiający: https://github.com/QueueForge/ClickMigrate/commit/6b1f2c0202630a82252b3331aa57e64327e112b6
Co trzeba zrobić
Zaktualizuj oprogramowanie do wersji 1.0.3 lub nowszej. Jeśli aktualizacja nie jest od razu możliwa, unikaj przekazywania niezaufanych danych do argumentu revision -m i dopuszczaj uruchamianie polecenia revision wyłącznie przez zaufanych użytkowników lub systemy.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | clickmigrate | < 1.0.3 | 1.0.3 |
Odnośniki
- Wektor CVSS
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N- Słabość (CWE)
CWE-22- Platforma
- Python (PyPI)
- Paczka
clickmigrate- Ujawniono
- 16.10.2026
- Aktualizacja
- 19.10.2026 08:00
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-vgf9-9mxx-hq54 - CC BY 4.0
Historia podatności: clickmigrate
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.