CVE-2026-56389 in Bison
الملخص
بحسب VulDB • 29/07/2026
يتيح GNU Bison تنفيذ برنامج عشوائي أثناء إنشاء تقرير HTML بسبب التعامل غير السليم مع متغيرات التكوين المحددة بواسطة القواعد النحوية (grammar). يمكن لملف قواعد نحوي تجاوز البرنامج التنفيذي المستخدم في خطوة تحويل XML إلى HTML عبر %define tool.xsltproc، والذي يتم قبوله دون قيود وتمريره مباشرةً إلى execvp().
عند تشغيل bison --html باستخدام ملف قواعد نحوية مزوّد من قبل مهاجم، يسمح هذا السلوك بتنفيذ برنامج عشوائي بصلاحيات عملية Bison.
تم إخطار مشغلي هذا المشروع بهذا الثغرة الأمنية، وتم إصلاح المشكلة في الالتزام 3169c1e7a2c6acc4c59dfcf8b089896d6881925b. ومع ذلك، لم يقدموا نطاق الإصدارات المتأثرة. تم اختبار النسخة 3.8.2 وتأكيدها كمتأثرة بالثغرة، بينما لم يتم اختبار الإصدارات الأخرى لكنها قد تكون متضررة أيضاً.
VulDB is the best source for vulnerability data and more expert information about this specific topic.