CVE-2022-41722

Path traversal on Windows in path/filepath

Description

A path traversal vulnerability exists in filepath.Clean on Windows. On Windows, the filepath.Clean function could transform an invalid path such as "a/../c:/b" into the valid path "c:\b". This transformation of a relative (if invalid) path into an absolute path could enable a directory traversal attack. After fix, the filepath.Clean function transforms this path into the relative (but still invalid) path ".\c:\b".

Scores

Faiblesses (CWE)

• CWE-22

Avis

• GO-2023-1568 — Path traversal on Windows in path/filepath

Références européennes

• ENISA EUVD · EUVD-2022-44895
• GCVE · GCVE-0-2022-41722

Avis du CERT-FR

• CERTFR-2026-AVI-0339 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2026-AVI-0199 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2025-AVI-0969 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2025-AVI-0622 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2025-AVI-0256 — Multiples vulnérabilités dans Broadcom VMware Tanzu Greenplum · cert.ssi.gouv.fr
• CERTFR-2023-AVI-0701 — Multiples vulnérabilités dans Splunk · cert.ssi.gouv.fr
• CERTFR-2023-AVI-0484 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
• CERTFR-2023-AVI-0272 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr

Configurations affectées (CPE NVD)

• cpe:2.3:a:golang:go:*:*:*:*:*:*:*:* < 1.19.6
• cpe:2.3:a:golang:go:1.20.0:-:*:*:*:*:*:*

Produits affectés

Références

• https://go.dev/issue/57274
• https://go.dev/cl/468123
• https://groups.google.com/g/golang-announce/c/V0aBFqaFs_E
• https://pkg.go.dev/vuln/GO-2023-1568

Sources