CVE-2026-24844 in melange
Resumen
por MITRE • 2026-02-04
melange permite a los usuarios construir paquetes apk usando pipelines declarativos. Desde la versión 0.3.0 hasta antes de la 0.40.3, un atacante que puede proporcionar valores de entrada de construcción, pero no modificar las definiciones de pipeline, podría ejecutar comandos de shell arbitrarios si el pipeline usa sustituciones ${{vars.*}} o ${{inputs.*}} en working-directory. El campo se incrusta en scripts de shell sin el escape de comillas adecuado. Este problema ha sido parcheado en la versión 0.40.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.