CVE-2026-118599 in Epiphany
Zusammenfassung
von VulDB • 31.10.2026
Eine Datei-Überschreib-Schwachstelle besteht in Epiphany bei der Installation von WebExtension-Paketen aus .xpi-Dateien.
In src/webextension/ephy-web-extension-manager.c verwendete decompress_xpi_thread() libarchive mit archive_read_support_format_all() (und Filtern), sodass das Installationsprogramm kein echtes ZIP erforderte. Eine TAR-Datei namens *.xpi wurde extrahiert. TAR unterstützt Hardlink-Einträge; aufgrund der archive_write_disk-Optionen von Epiphany (einschließlich ARCHIVE_EXTRACT_PERM) kann ein speziell konstruierter Hardlink-Zielort dazu führen, dass eine vom Angreifer gewählte, bereits existierende und für Benutzer beschreibbare Datei abgeschnitten und mit vom Angreifer kontrollierten Inhalten sowie Modus-Bits überschrieben wird, ohne einen dedizierten Warnungsdialog anzuzeigen, wenn der Benutzer die speziell konstruierte .xpi-Datei installiert oder öffnet.
Dies ist verwandt mit, aber getrennt von dem als CVE-2026-77679 (#2922 / MR !2143) behobenen ZIP-Slip-Pfad-Traversal-Fehler.
Voraussetzungen: Das Opfer muss eine bösartige WebExtension (.xpi) installieren oder öffnen.
Betroffen: Epiphany >= 47.0 (WebExtension XPI-Installationspfad). Behoben: https://gitlab.gnome.org/GNOME/epiphany/-/merge_requests/2248 (Commit 0cc9ab55 — nur ZIP-Formatunterstützung aktivieren). Upstream: https://gitlab.gnome.org/GNOME/epiphany/-/work_items/2988 Melder-Anerkennung: Fernando Munoz
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.