CVE-2026-49497

3.3 Faible

Publiée le 10/06/2026 à 16:16 · Modifiée le 15/07/2026 à 00:17 · Analysée par le NVD · Source : disclosure@vulncheck.com

Description

Ghidra before 12.1 contains a path traversal vulnerability in SameDirDebugInfoProvider that fails to validate filenames from ELF binary .gnu_debuglink sections before constructing file paths. Attackers can craft malicious ELF binaries with traversal sequences to probe filesystem existence and leak CRC32 hashes of arbitrary files during automatic DWARF analysis.

Traduire en français

Produits concernés

Scores CVSS

Version	Score	Source	Vecteur
4.0	4.6 Moyenne	disclosure@vulncheck.com	`CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	3.3 Faible	disclosure@vulncheck.com	`CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N`

Faiblesses (CWE)

CWE-22

Références

https://github.com/NationalSecurityAgency/ghidra/security/advisories/GHSA-57g6-7qw2-p5hx ExploitVendor Advisory
https://www.vulncheck.com/advisories/ghidra-path-traversal-via-gnu-debuglink-in-dwarf-external-debug-file-resolution Third Party Advisory

CVE-2026-49497

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs