AltimateAI / AltimateAI/altimate-code
fix: add path traversal guard for {file:path} config interpolation
オープン
- 主要言語
- TypeScript
- スター
- 811
- フォーク
- 134
- 平均マージ
- 3日 2時間
- マージ済み PR（30日）
- 50
説明
Found during v0.5.21 release review. The `{file:path}` substitution in `config/paths.ts` has no path traversal guard — `{file:../../etc/passwd}` or `{file:~/.ssh/id_rsa}` would be resolved. Currently low risk since configs are user-authored, but should be hardened if configs are ever loaded from less-trusted sources (e.g. shared repo `.opencode/opencode.json`).
Deferred because: requires design (path jail under config dir or project root, ~45 min).
コントリビューションガイド
評価
この issue はまだ評価されていません。