CVE-2026-120325
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Knip allant jusqu'à la 6.44.0 constituent un outil utilisé pour identifier les fichiers et les dépendances inutilisés dans les projets JavaScript et TypeScript. Une faille dans la fonction `writeFile` au sein du Workspace Handler permet une attaque par traversée de chemin (path traversal) via l'argument `workspaces`. Cela signifie que le logiciel peut être manipulé pour écrire des fichiers en dehors du répertoire du projet prévu.
Un attaquant peut écraser ou créer des fichiers à distance sur votre système, bien que l'impact global sur la confidentialité et l'intégrité soit jugé faible. L'exploitation de cette faille nécessite qu'un utilisateur interagisse avec une configuration malveillante, ce qui signifie qu'elle ne peut pas se produire silencieusement en arrière-plan. Bien que l'attaque soit techniquement facile à exécuter une fois l'utilisateur piégé, elle ne nécessite aucune authentification préalable.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A security vulnerability has been detected in Webpro-nl Knip up to 6.44.0. The impacted element is the function writeFile of the file packages/knip/src/IssueFixer.ts of the component Workspace Handler. Such manipulation of the argument workspaces leads to path traversal. The attack can be executed remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.