Vulnerabilidad en livebook de livebook-dev (CVE-2026-66881)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-23 Limitación incorrecta de nombre de ruta relativa a un directorio restringido (Relative Path Traversal)

Fecha de publicación:

05/08/2026

Última modificación:

24/10/2026

Descripción

Una vulnerabilidad de salto de ruta relativo en livebook-dev livebook permite que un cuaderno creado por un atacante escriba un archivo con contenido controlado por el atacante en una ruta arbitraria. Un cuaderno .livemd puede declarar metadatos de file_entries, cada entrada con un nombre. Cada ruta que crea una entrada de archivo a través de la interfaz de usuario valida ese nombre con Livebook.Notebook.validate_file_entry_name/2, que requiere un nombre de archivo plano de caracteres alfanuméricos, guiones, guiones bajos y puntos, que termina en una extensión. La ruta de importación no lo hace: Livebook.LiveMarkdown.Import.file_entry_metadata_to_attrs/1 en lib/livebook/live_markdown/import.ex toma el nombre textualmente del código fuente del cuaderno. Para una entrada de archivo de tipo URL, Livebook.Session.file_entry_cache_file/2 en lib/livebook/session.ex resuelve ese nombre debajo del directorio temporal de la sesión sin verificar que el resultado permanezca dentro de él, y Livebook.FileSystem.Utils.resolve_unix_like_path/2 colapsa los segmentos de directorio padre mientras se limita solo a la raíz del sistema de archivos. Cuando se solicita el contenido de la entrada y no existe una copia en caché, Livebook obtiene la URL de la entrada y escribe el cuerpo de la respuesta en la ruta resuelta, creando directorios padre según sea necesario. El atacante, por lo tanto, controla tanto el destino como el contenido del archivo escrito, que puede terminar en cualquier lugar donde el proceso de Livebook pueda escribir. La misma verificación de contención faltante está presente en Livebook.Session.to_attachment_file_entry/2. Una víctima que abre un cuaderno proporcionado por un atacante y hace que se obtenga la entrada activa la escritura dentro de su propia sesión autenticada; el atacante no necesita una cuenta en la instancia de destino. Las entradas de tipo URL tampoco se colocan bajo cuarentena de sellado de cuadernos al importar, por lo que no se muestra ninguna advertencia. Este problema afecta a livebook: desde 0.11.0 antes de 0.18.7 y desde 0.19.0 antes de 0.19.9.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 7.00 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Activo
Confidentiality (VC): Ninguno
Integrity (VI): Alto
Availability (VA): Bajo
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

7.00

Gravedad 4.0

ALTA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.10 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

8.10

Gravedad 3.x

ALTA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:livebook:livebook::::::::	0.11.0 (incluyendo)	0.18.7 (excluyendo)
cpe:2.3:a:livebook:livebook::::::::	0.19.0 (incluyendo)	0.19.9 (excluyendo)

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Vulnerabilidad en livebook de livebook-dev (CVE-2026-66881)

Descripción

Impacto

Productos y versiones vulnerables

Referencias a soluciones, herramientas e información