目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-103060— rebar3 依赖应用名未验证致路径穿越漏洞

一分钟漏洞结论

影响对象
erlang rebar3
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Erlang 构建工具 rebar3 中存在一处“受限目录的路径名限制不当（路径遍历）”漏洞。该漏洞允许恶意软件包发布者在开发者获取依赖项时，删除项目 目录之外的目录，并将软件包文件提取到该目录中。 Hex 注册表中发布的软件包依赖项包含一个 字段，用于指定该依赖项的 OTP 应用程序名称。rebar3 在使用此字段作为依赖项名称时未对其进行验证（见 函数），并直接基于该名称构建依赖项的目录路径（见 函数）。随后， 函数会使用 命令删除该目录，并将下载的包移动至其中。 在 2026 年 10 月 12 日之前，he

CVSS 7.5 · High
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-103060 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Path traversal in rebar3 via unvalidated dependency app names
来源: CVE Program / CVE List V5
Vulnerability Description
Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in erlang rebar3 allows a malicious package publisher to delete a directory outside the project's _build directory and extract package files into it when a developer fetches dependencies. A package release's dependencies in a Hex registry carry an app field that names the dependency's OTP application. rebar3 uses this field as the dependency's name without validating it (rebar_packages:parse_deps/1) and builds the dependency's directory from that name (rebar_app_utils:dep_to_app/7). rebar_fetch:download_source_online/2 deletes that directory with rm -rf and moves the fetched package into it. hex.pm didn't restrict the field to a directory name before 2026-10-12, so a publisher could set it to a value such as ../../../../target. When a project depends on such a release directly or transitively, rebar3 get-deps deletes the directory the name resolves to and writes the dependency's files there. This happens before the dependency's own rebar.config.script is evaluated, and get-deps compiles nothing. This issue affects rebar3: from 3.7.0-rc1 before 3.27.2.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
对路径名的限制不恰当(路径遍历)
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
erlang rebar3 3.7.0-rc1 ~ 3.27.2 cpe:2.3:a:erlang:rebar3:*:*:*:*:*:*:*:*
erlang rebar3 56b7d88975aa8da6446857cfd92de0825024bf63 ~ e35282b26e499b1d9e8f30bba9dccd71cd8b02ba cpe:2.3:a:erlang:rebar3:*:*:*:*:*:*:*:*

二、漏洞 CVE-2026-103060 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-103060 的情报信息

请登录查看更多情报信息。

CVE-2026-103060 其他参考 (5)

IV. Related Vulnerabilities

Same product: rebar3
Same vendor: erlang
Same weakness: CWE-22

V. Comments for CVE-2026-103060

暂无评论

发表评论