Zuke : suivi de liens symboliques dans les commandes d’échafaudage

Veille sécuritéFrontend

P4Moyenne

Avant la version 1.4.0, @zuke/cli inspectait certains noms d’échafaudage sans empêcher ensuite les opérations de lecture, d’écriture ou de changement de permissions de suivre un lien symbolique. Un dépôt, modèle ou archive non fiable préparé avec un tel lien peut conduire `zuke setup` à modifier une cible hors du répertoire choisi; mettre à jour vers 1.4.0 ou ultérieur et ne pas traiter de modèles non fiables avec les versions affectées.

IdentifiantCVE-2026-119291

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.4.0

Source : NVD — CVE-2026-119291

Analyse technique

Le suivi des liens symboliques peut permettre l’écriture hors du répertoire sélectionné; `zuke import` peut également lire la cible d’un lien et intégrer son contenu au fichier de build.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-30; cet événement tombe dans la période demandée. La mise à jour NVD du même jour est traitée comme un doublon de cette publication, et non comme une vulnérabilité distincte.

ImpactÉcriture possible hors du répertoire prévu ou lecture de contenu ciblé par lien symbolique, avec les permissions de l’utilisateur.

Versions affectées@zuke/cli antérieur à 1.4.0

Version corrigée1.4.0

ContournementÉviter d’exécuter `zuke setup` ou `zuke import` sur des dépôts, modèles ou archives non fiables avec une version affectée.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.5

Publication2026-10-30T16:17:43.307Z

Mise à jour2026-10-30T17:13:54.187Z

Action recommandée

Mettre à jour @zuke/cli vers 1.4.0 ou ultérieur et traiter les modèles et archives non fiables comme potentiellement dangereux.

Sources

NVD — CVE-2026-119291

Priorisation DFS : P4 · 1 source(s).