CVE-2026-54174 in Melange
Resumen
por VulDB • 2026-09-12
melange permite a los usuarios construir paquetes apk utilizando pipelines declarativos. Apko, anterior a la versión 1.2.9 (correspondiente a melange anterior a la versión 0.50.4), verificaba el hash de la sección de control (.PKGINFO, etc.) contra el `APKINDEX` firmado, pero nunca verificaba el hash de la sección de datos (los archivos reales del paquete que se instalan). Un atacante que pudiera comprometer un mirror, envenenar una caché o realizar un ataque Man-in-the-Middle (MITM) durante la obtención del paquete podría sustituir contenidos arbitrarios de los archivos mientras la verificación del hash de control seguía pasando. Apko versión 1.2.9 y melange versión 0.50.4 contienen una corrección para este problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.