CVE-2026-115569 Lectura de archivos fuera del proyecto en Fallow mediante entradas projects de Jest y Vitest

Qué es CVE-2026-115569

Desde 2.68.0 hasta 3.34.0, Fallow sigue rutas de proyectos Jest controladas por el atacante fuera de la raíz del proyecto mediante rutas absolutas, segmentos padre, globs con comodín y enlaces simbólicos. En 3.33.1 también afecta rutas test.projects de Vitest, extends de proyectos inline y rutas --config enlazadas. Corregido en 3.34.0.

Productos y versiones afectadas

• fallow-rs fallow

  • >= 2.68.0, < 3.34.0

• @fallow-cli fallow-node

  • >= 2.68.0, < 3.34.0

• fallow-rs fallow-cli

  • >= 2.68.0, < 3.34.0

• fallow-rs fallow-core

  • >= 2.68.0, < 3.34.0

Qué hacer

1. Verificá si usás fallow y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 3.3 BAJA

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Fallow is a codebase intelligence tool for TypeScript and JavaScript. From 2.68.0 until 3.34.0, Fallow follows attacker-controlled Jest projects paths outside the project root through absolute paths, parent segments, dot-prefixed wildcard globs, or symlinks. In version 3.33.1, the same behavior also affects Vitest test.projects paths, Vitest inline-project extends paths, and symlinked script --config paths. Fallow parses the outside files as test-runner configuration and uses them to credit dependencies, setup files, and JSX import sources, which can change unused dependency and unused file findings in CI or agent analysis. The outside file contents are not printed or sent over the network. This issue is fixed in version 3.34.0.

Referencias

• github.com/fallow-rs/fallow/security/advisories/GHSA-jfwm-3p3c-6hx5X_REFSOURCE_CONFIRM
• github.com/fallow-rs/fallow/pull/3556X_REFSOURCE_MISC
• github.com/fallow-rs/fallow/commit/75c0c60948a53ddfe042e65b446343989f4c5649X_REFSOURCE_MISC
• github.com/fallow-rs/fallow/releases/tag/v3.34.0X_REFSOURCE_MISC

Historial de la alerta

1. 23 OCT · 16:07VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.