Veille sécuritéBackend & données
P3Élevée
CVE-2026-62331 (GHSA-48v2-6jcm-fc99), publié le 2026-11-03T17:27:25Z, concerne une traversée de chemin dans les téléversements Telegram de praktor. Un utilisateur Telegram distant peut écrire hors du répertoire `uploads/` dans l’espace de travail persistant de l’agent; mettre à niveau vers 0.9.1, ou limiter l’accès du bot aux utilisateurs de confiance.
Go
IdentifiantCVE-2026-62331
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.9.1
Source : GitHub Advisory GHSA-48v2-6jcm-fc99
Analyse technique
Le nom de fichier contrôlé par l’expéditeur était combiné au chemin de destination sans assainissement approprié, permettant de sortir de `uploads/` et d’écrire dans l’espace de travail persistant de l’agent.
Impact, versions et correctif
Événement datéNouvel avis publié le 2026-11-03T17:27:25Z, dans la période demandée.
ImpactUn utilisateur Telegram pouvant envoyer un fichier peut écrire hors de `uploads/` dans l’espace de travail de l’agent, et potentiellement y déposer ou remplacer des fichiers consommés lors d’exécutions ultérieures.
Versions affectées<= 0.9.0
Version corrigée0.9.1
ContournementConfigurer `telegram.allow_from` pour limiter les téléversements aux identifiants d’utilisateurs de confiance.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.2
EPSS0,78% · percentile 55,9%
Publication2026-11-03T17:27:25Z
Mise à jour2026-11-03T17:27:26Z
Action recommandée
Mettre à niveau vers praktor 0.9.1.
Sources
Priorisation DFS : P3 · 1 source(s).