Уязвимость обхода пути в 06ketan slideshot (CVE-2026-94049)
В 06ketan slideshot до версии 4.4.0 включительно обнаружена уязвимость обхода пути (path traversal) в функции render_slides файла packages/cli/src/renderer.ts. Эксплуатация возможна удалённо, а публичный эксплойт уже существует. Проблема классифицирована как средняя (CVSS 5.3), но патч на момент публикации отсутствует.
Подробности
Проблема затрагивает функцию render_slides в файле packages/cli/src/renderer.ts. При обработке аргумента htmlPath не выполняется должная валидация пути, что позволяет злоумышленнику выйти за пределы ожидаемого каталога и обратиться к произвольным файлам файловой системы. Поскольку уязвимость связана с обработкой пользовательского ввода, эксплуатация возможна удалённо — например, через специально сформированный вызов CLI или подставленный путь. Под уязвимость попадают все версии 06ketan slideshot вплоть до 4.4.0 включительно. На момент публикации CVE информация о том, что проблема была заранее доведена до сведения проекта через issue-репорт, но сопровождающие не отреагировали, а публичный эксплойт уже доступен. Это существенно повышает риск: злоумышленникам не требуется самостоятельная разработка атаки. Стоит отметить, что сама по себе оценка CVSS 5.3 относит уязвимость к среднему уровню, однако в сочетании с наличием готового эксплойта и отсутствием патча реальная опасность может быть выше — особенно в сценариях, где slideshot используется в автоматизированных пайплайнах или на серверах, обрабатывающих недоверенный ввод.Что делать
Официального обновления, устраняющего CVE-2026-94049, на момент публикации нет. В связи с этим рекомендуются следующие меры: - Проверьте, используется ли 06ketan slideshot в вашей инфраструктуре, и оцените, поступает ли на вход htmlPath из недоверенного источника. - По возможности ограничьте доступ к CLI-интерфейсу slideshot: запускайте его только в изолированном окружении (контейнер, sandbox) с минимальными правами на файловую систему. - Не передавайте в slideshot пути, формируемые из внешних данных без строгой валидации; при необходимости добавьте собственную проверку и нормализацию путей на уровне обёртки. - Следите за обновлениями проекта 06ketan slideshot и оперативно устанавливайте исправленную версию, как только она появится. - Рассмотрите временный отказ от инструмента в критичных процессах до выпуска патча. Итог: CVE-2026-94049 — умеренно опасная, но уже эксплуатируемая уязвимость обхода пути в 06ketan slideshot до 4.4.0. Поскольку патча нет, а эксплойт доступен публично, основная защита сегодня — это изоляция запуска, валидация входных путей и мониторинг обновлений проекта.Источник: CVE Project (cvelistV5)