Unsafe tar unpacking in HashiCorp go-slug

CAO 7.5CVE-2020-29529 · GHSA-2g5j-5x95-r6hr · GO-2021-0094 · Công bố 03/12/2020 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2020-29529 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng github.com/hashicorp/go-slug, go-slug (hashicorp).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.8%, cao hơn 86.6% các lỗ hổng khác.
Cách xử lý: cập nhật lên 0.5.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
github.com/hashicorp/go-slug Go	`< 0.5.0`	`0.5.0`
go-slug hashicorp	`< 0.5.0`	`0.5.0`

Mô tả

HashiCorp go-slug before 0.5.0 does not address attempts at directory traversal involving ../ and symlinks.

Mô tả của NVD

HashiCorp go-slug up to 0.4.3 did not fully protect against directory traversal while unpacking tar archives, and protections could be bypassed with specific constructions of multiple symlinks. Fixed in 0.5.0.