¿Qué es la vulnerabilidad CVE-2026-120313?
CVE-2026-120313 corresponde a una vulnerabilidad de salto de directorio descubierta en Network-AI anterior a la versión 5.15.5, con una puntuación CVSS de 7.5 y severidad alta como analizamos en fallos críticos previos de librerías.
El problema afecta directamente a la lógica de saneamiento de rutas implementada en el sistema, exponiendo los entornos operativos a accesos no autorizados.
¿A quién afecta este fallo de seguridad?
Los principales afectados son los desarrolladores y administradores que utilicen versiones de Network-AI anteriores a la 5.15.5 en sus arquitecturas de red o servidores similar a otras incidencias de control de permisos en componentes.
Cualquier sistema que procese entradas de rutas sin un aislamiento estricto del espacio aislado (sandbox) corre el riesgo de verse comprometido.
¿Por qué se produce el salto de directorio?
El fallo reside específicamente en el método InputSanitizer.sanitizePath(), que permite a los atacantes escapar del directorio base utilizando rutas de directorios hermanos afectando a la integridad de forma análoga a brechas de privilegios.
Los atacantes pueden suministrar rutas cuyos nombres de directorio compartan un prefijo de cadena con la base, eludiendo de este modo la comprobación startsWith no anclada para leer, listar o escribir archivos.
¿Cómo me protejo?
Para mitigar este riesgo de seguridad de manera efectiva, se recomienda aplicar los parches oficiales publicados por los desarrolladores y revisar las dependencias del proyecto.
Siga los pasos recomendados a continuación para asegurar sus entornos afectados.
- Compruebe si su aplicación utiliza una versión de Network-AI anterior a la 5.15.5.
- Consulte los detalles técnicos oficiales en el aviso de seguridad de GitHub.
- Actualice Network-AI a la versión 5.15.5 o superior utilizando su gestor de paquetes.
- Verifique que las rutas de entrada queden correctamente limitadas dentro del directorio base.