Vulnerabilidad en Gleam de Gleam (CVE-2026-42795)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-59
Incorrecta resolución de una ruta antes de aceder a un fichero (Seguimiento de enlaces)
Fecha de publicación:
02/06/2026
Última modificación:
22/07/2026
Descripción
Una vulnerabilidad de seguimiento de enlaces simbólicos en la exportación de paquetes Hex de Gleam permite que archivos fuera de la raíz del proyecto sean incrustados en el tarball del paquete generado.<br />
<br />
Los ayudantes de recolección de archivos (gleam_files, native_files, private_files) en compiler-cli/src/fs.rs usan follow_links(true) al recorrer directorios publicables como src/ y priv/. Las rutas recolectadas se añaden al archivo del paquete a través de add_path_to_tar en compiler-cli/src/publish.rs sin verificar que el objetivo resuelto permanezca dentro de la raíz del proyecto. Un enlace simbólico colocado bajo un directorio publicable hará que gleam export hex-tarball o gleam publish incrusten el contenido del objetivo del enlace simbólico en el paquete Hex generado.<br />
<br />
Un atacante con acceso de escritura al repositorio del proyecto puede colocar un enlace simbólico en src/ o priv/ apuntando a un archivo arbitrario. Cuando un mantenedor o una tubería de CI ejecuta gleam publish o gleam export hex-tarball, los archivos locales legibles por el publicador (como secretos, tokens o claves SSH) son incrustados silenciosamente en el artefacto del paquete publicado.<br />
<br />
Este problema afecta a Gleam desde 0.10.0-rc1 hasta 1.17.0.
Impacto
Puntuación base 4.0
5.10
Gravedad 4.0
MEDIA
Referencias a soluciones, herramientas e información
- https://cna.erlef.org/cves/CVE-2026-42795.html
- https://github.com/gleam-lang/gleam/commit/6435a5528b9ae0449e2f32be579641ec485f6866
- https://github.com/gleam-lang/gleam/security/advisories/GHSA-qhh5-fg4c-8gqc
- https://osv.dev/vulnerability/EEF-CVE-2026-42795
- https://github.com/gleam-lang/gleam/security/advisories/GHSA-qhh5-fg4c-8gqc