CVE-2026-54583 in mport
Zusammenfassung
von VulDB • 17.09.2026
mport ist der MidnightBSD-Paketmanager. Vor Version 2.7.8 hat libmport/fetch.c leere, mit einem Punkt beginnende (dot), dot-dot- oder Schrägstriche enthaltende Bundle-Namensangaben nicht konsistent abgelehnt, bevor Paket-Download- und Schreibpfade zusammengesetzt wurden. Bösartige Paketindexdaten konnten einen unsicheren Wert in indexEntry->bundlefile platzieren, und die fehlenden is_valid_bundle_filename()-Prüfungen ermöglichten es, heruntergeladene Paketdaten außerhalb des beabsichtigten Cache-Speicherungsorts oder an einem unsicheren Zielnamen zu schreiben. Dieses Problem wurde in Version 2.7.8 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.