PT-2026-39730 · Crabbox · Crabbox

Publicado 2026-05-11 · Atualizado 2026-06-25 · CVE-2026-45224

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Crabbox versões anteriores a 0.9.0

Description Um problema de path traversal existe na resolução de caminho de workspace do provedor Islo. Isso permite que atacantes usem caminhos absolutos ou relativos que resolvem fora do diretório '/workspace' pretendido. Ao criar um arquivo .crabbox.yaml ou crabbox.yaml malicioso contendo sequências de travessia, um atacante pode causar a exclusão e a sobreposição arbitrária de arquivos quando o sync.delete está habilitado. Isso ocorre porque a lógica de preparação do workspace executa operações rm -rf e mkdir -p no caminho resolvido sem a validação adequada.

Recommendations Atualize para a versão 0.9.0 ou posterior.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-45224

GHSA-3CJV-H753-QF7H

GO-2026-5079

Produtos afetados

Crabbox

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/45xxx/CVE-2026-45224.json · Exploit
• https://github.com/openclaw/crabbox · Nota
• https://github.com/openclaw/crabbox/commit/6b07193fb5670aac315ea47215651c67b8127868 · Correção
• https://github.com/openclaw/crabbox/releases/tag/v0.9.0 · Nota
• https://github.com/openclaw/crabbox/pull/65 · Nota
• https://osv.dev/vulnerability/GHSA-3cjv-h753-qf7h · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-45224 · Aviso do Fabricante
• https://vulncheck.com/advisories/crabbox-path-traversal-via-islo-provider-workspace-resolution · Nota
• https://github.com/advisories/GHSA-3cjv-h753-qf7h · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-45224 · Nota de Segurança
• https://twitter.com/CVEnew/status/2053932386245853622 · Publicação no Twitter
• https://osv.dev/vulnerability/GO-2026-5079 · Aviso do Fabricante