CVE-2026-123806 Coincidencia de rutas de delegación dependiente de la plataforma en python-tuf
python-tuf es una implementación de referencia en Python de The Update Framework (TUF). Antes de 7.0.0, DelegatedRole._is_target_in_pathpattern en tuf/api/_payload.py usa fnmatch.fnmatch, que aplica os.path.normcase antes de la coincidencia y hace que la autorización de rutas de delegación no distinga mayúsculas en Windows. Si un repositorio TUF tiene delegaciones basadas en rutas que difieren solo por mayúsculas y se visita un rol controlado por el atacante antes del legítimo, ngclient puede aceptar un target…
CVSS 3.1
- Probabilidad de explotaciónSin dato
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
theupdateframework python-tuf
< 7.0.0
Qué hacer
- Verificá si usás python-tuf y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.0 MEDIA
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
- Vector de ataqueLocal
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
python-tuf is a Python reference implementation of The Update Framework (TUF). Prior to 7.0.0, DelegatedRole._is_target_in_pathpattern in tuf/api/_payload.py uses fnmatch.fnmatch, which applies os.path.normcase before matching and makes delegation path authorization case-insensitive on Windows. When a TUF repository has path-based delegations that differ only by case and an attacker-controlled role is visited before the legitimate role, ngclient can accept an attacker-provided target from the wrong delegation for a requested path. Linux and macOS clients are not affected because their path normalization does not change case. This issue is fixed in 7.0.0.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.