Vulnerabilidad en Go standard library (CVE-2025-22873)

Gravedad CVSS v3.1:

BAJA

Tipo:

CWE-23 Limitación incorrecta de nombre de ruta relativa a un directorio restringido (Relative Path Traversal)

Fecha de publicación:

04/02/2026

Última modificación:

10/02/2026

Descripción

Fue posible acceder de forma indebida al directorio padre de un os.Root al abrir un nombre de archivo que termina en &#39;../&#39;. Por ejemplo, Root.Open(&#39;../&#39;) abriría el directorio padre del Root. Este escape solo permite abrir el propio directorio padre, no los ancestros del padre ni los archivos contenidos dentro del padre.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 3.80 BAJA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno