CVE-2026-59172
Mở trang đầy đủCVSS 7.8 HIGH
Joker linter executed project-local .jokerd/linter.* files during linting
Mô tả
Joker is a small Clojure interpreter, linter and formatter written in Go. Prior to 1.8.2, joker --lint <file> walks upward from the linted file to locate a .jokerd/ directory and executes matching linter.* files before linting. Those files contain executable Joker/Clojure code, so linting a file inside an untrusted repository can execute repository-supplied code with the linter user's privileges. Editor integrations and CI jobs that automatically lint checked-out source can trigger this behavior. The patch stops executing project-local linter customizations and loads executable customization only from the user's home directory. This issue is fixed in version 1.8.2.
Điểm và phân loại
- CVSS
- 7.8 HIGH v3.1
- Nguồn điểm
- NVD
- Mức độ (theo nguồn)
- HIGH
- EPSS
- —
- CWE
- CWE-829
Vector CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Ảnh hưởng
Sản phẩm
- candid82 joker
Vì sao bị lọc
- CVSS 7.8 < 8.0 và không thuộc CISA KEV
Loại tác động
Không nhận ra loại tác động nào từ CWE, vector hay mô tả.
Dữ liệu riêng của nguồn
- CVE.org · Đơn vị cấp mã
- GitHub_M
- CVE.org · SSVC
- Tự động hoá được: no · Khai thác: none · Tác động kỹ thuật: total