GHSA-4qcx-jx49-6qrh — обход путей в LockManager.release_locks в Aim

В функции LockManager.release_locks проекта Aim выявлена уязвимость обхода путей, позволяющая удалять произвольные файлы через относительные пути. Контролируемый пользователем параметр run_hash конкатенируется без нормализации как часть пути, используемого для удаления файла. Уязвимость доступна через метод Repo._close_run(), который можно вызвать через API инструкций сервера отслеживания.