https://alertas.dupin.com.ar/fabricante/beam-cloud/Alertas de vulnerabilidades de beam-cloud.esSun, 01 Nov 2026 14:46:02 +000010https://alertas.dupin.com.ar/cve/CVE-2026-120308/tg:62591Sun, 01 Nov 2026 14:46:02 +0000VulnerabilidadEl gateway de Beta9 arma la ruta del volumen en el host sin verificar que el identificador pertenezca al workspace del tenant; segmentos de directorio padre colapsan la ruta hasta la raíz del sistema de archivos del worker, que se monta en la sandbox con lectura y escritura salvo que el volumen sea de solo lectura. Un tenant con token de workspace puede leer y escribir archivos del worker, incluidos volúmenes de otros tenants. Corregido en gateway 0.1.776 y worker 0.1.756.https://alertas.dupin.com.ar/cve/CVE-2026-120307/tg:62590Sun, 01 Nov 2026 14:45:59 +0000VulnerabilidadLa API de archivos de sandbox del worker de Beta9 convierte rutas del contenedor en rutas del worker sin validarlas: segmentos de directorio padre o enlaces simbólicos absolutos permiten alcanzar cualquier ruta del sistema de archivos del worker. Un tenant con token de workspace y una sandbox en ejecución puede leer, escribir, listar y borrar archivos del worker a través de las operaciones de upload, download, stat, list, find-in-files, replace-in-files y delete-file.https://alertas.dupin.com.ar/cve/CVE-2026-120306/tg:62589Sun, 01 Nov 2026 14:45:58 +0000VulnerabilidadBeta9 ejecuta cada comando de la definición de imagen del tenant con Buildah usando BUILDAH_ISOLATION=chroot, por lo que el paso solo cambia la raíz del sistema de archivos y conserva los namespaces, el uid 0 y CAP_DAC_OVERRIDE del pod del worker. Esto permite acceder a /proc/1/root, al sistema de archivos del worker con los binarios runc, buildah y runsc, al token de la cuenta de servicio de Kubernetes y a los directorios del host montados en el pod. Un tenant con token de workspace lo alcanza enviando un build…