PT-2026-29671 · Copier · Copier

Evipepota · Publicado 2026-04-01 · Atualizado 2026-04-03 · CVE-2026-34730

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Copier versões anteriores a 9.14.1

Descrição A funcionalidade external data no Copier permite que templates carreguem arquivos YAML usando caminhos controlados pelo template. Isso pode permitir que um template malicioso leia arquivos YAML legíveis localmente acessíveis ao usuário que executa o Copier, expondo potencialmente seu conteúdo na saída renderizada. O problema ocorre porque não há verificação de contenção para garantir que o caminho resultante permaneça dentro do destino do subprojeto. Isso permite a travessia de diretório pai (por exemplo, '../secret.yml') e a leitura de caminhos absolutos (por exemplo, '/tmp/secret.yml'). A vulnerabilidade existe mesmo sem usar a flag --UNSAFE.

Recomendações Atualize o Copier para a versão 9.14.1 ou posterior.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-34730

GHSA-HGJQ-P8CR-GG4H

Produtos afetados

Copier

Referências · 8

• 🔥 https://github.com/copier-org/copier/security/advisories/GHSA-hgjq-p8cr-gg4h · Exploit
• https://github.com/copier-org/copier/releases/tag/v9.14.1 · Nota
• https://github.com/copier-org/copier/commit/5413062eb17b73dc885f5e645cdc161e69ef641b · Correção
• https://github.com/copier-org/copier · Nota
• https://twitter.com/infoflowcloud/status/2040130069750779907 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2040128808683020429 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-hgjq-p8cr-gg4h · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-34730 · Nota de Segurança