Path traversal в eventcatalog sdk (CVE-2026-116046): исправление в версии 2.30.0

В компоненте Custom Documentation Helpers пакета eventcatalog sdk выявлена уязвимость, связанная с обходом каталога (path traversal). Проблема получила идентификатор CVE-2026-116046 и затрагивает версии SDK вплоть до 2.29.0 включительно. Разработчик был уведомлён заблаговременно, оперативно отреагировал и выпустил исправленную сборку.

Подробности

Уязвимость затрагивает функцию работы с пользовательскими документами в файле packages/sdk/src/custom-docs.ts — речь идёт о функциях getCustomDoc, writeCustomDoc и rmCustomDoc. При манипуляции аргументом options.path становится возможным обход каталога: передаваемый путь не ограничивается ожидаемой директорией, что позволяет обращаться к файлам за её пределами.

По классификации проблема относится к классу path traversal (CWE-22). Базовая оценка CVSS составляет 4.8, что соответствует уровню MEDIUM. Существенное ограничение — вектор атаки: эксплуатация возможна только на локальном хосте, то есть требует локального доступа или влияния на передаваемые в SDK пути. Это снижает практическую опасность для типовых сценариев развёртывания, однако в средах, где SDK обрабатывает недоверенные входные данные (например, при генерации или удалении документации по путям из внешних источников), риск возрастает.

Исправление выпущено в версии eventcatalog sdk 2.30.0. Имя патча: a4f072a03f440d58230092e88d8b4893f4c6d6ca.

Что делать

Рекомендуется как можно скорее обновить eventcatalog sdk до версии 2.30.0 или выше — это штатный и наиболее надёжный способ закрыть уязвимость. Если обновление невозможно в короткие сроки, следует рассмотреть временные митигации: ограничить передачу в функции getCustomDoc, writeCustomDoc и rmCustomDoc путей из недоверенных источников, а также валидировать и нормализовать значение options.path на стороне приложения, не допуская выхода за пределы разрешённого каталога. Дополнительно стоит проверить, не используются ли в вашей конфигурации пользовательские пути, приходящие из внешних данных, и ограничить права процесса SDK на файловой системе принципом минимальных привилегий.

Уязвимость не является критичной и требует локального вектора эксплуатации, однако path traversal в операциях чтения, записи и удаления файлов заслуживает внимания: ошибки в обработке путей могут привести к нежелательному изменению или удалению данных вне ожидаемой директории. Исправление доступно, производитель отреагировал promptly и профессионально, поэтому основной рекомендацией остаётся плановое обновление до 2.30.0 с проверкой всех мест вызова функций работы с пользовательской документацией.

Источник: CVE Project (cvelistV5)