A verificação `--preserve- root` usa um teste de path- string (`path. has_root() && path.parent(). is_none()`) em vez de comparar o dispositivo/inodo. Um link simbólico para `/ ' (por exemplo, `/ tmp/ rootlink -> / ') tem um componente pai, então passa a verificação. GNU cache `/`'s dev/inode no início e compara todos os diretórios atravessados contra ele. **Importado:** ` rm - rf -- preserve- root` em um caminho que se resolve através de um link simbólico para `/ ' contorna a proteção e pode excluir diretórios do sistema. Recomendação: compare o dev/inodo de cada diretório inserido com o cache `/ '. ** Remediação:** Reconhecido por Canonical; fixo no commit 5 e 5968 cd.
--- _Reportado pelo Zelic no * uutils coreutils Avaliação de Segurança do Programa* (preparado para Canonical, Jan 20 2026 ), commit auditado ` 3 a 07 ffc 5 a 9 bd 4 c 283 e 75 afa 548 ba 1 f 1957 má 242 `. Encontrar 3.44. Crédito: Zelic._ Registro de aconselhamento: GHSA- 7 cr 3 - h 577 - g 38 j. Identificadores relacionados: CVE- 2026 - 35349. Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 06 T 20: 15: 27.000 Z e lista a sua última modificação como 2026 - 07 - 06 T 20: 15: 27.000 Z.
Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:H. Informações sobre software e versão afetadas: caixas.io pacote ui_rm — ECOSISTEM: introduzido 0, corrigido 0.7.0. Classificação e evidência: identificadores de fraqueza CWE- 59, CWE- 693. O registro contém 6 suporte de referências nestes tipos: WEB, AVISO, EMBALAGAMENTO.