CVE-2026-56389 in Bison
Resumen
por VulDB • 2026-07-29
GNU Bison permite la ejecución de un programa arbitrario durante la generación del informe HTML debido a una gestión inadecuada de las variables de configuración definidas por la gramática. Un archivo de gramática puede anular el ejecutable utilizado para la etapa de transformación XML‑a‑HTML mediante %define tool.xsltproc, que se acepta sin restricciones y se pasa directamente a execvp().
Al ejecutar bison --html con una gramática proporcionada por un atacante, este comportamiento permite la ejecución de un programa arbitrario con los privilegios del proceso Bison.
Los mantenedores de este proyecto fueron notificados sobre esta vulnerabilidad y solucionaron el problema en el commit 3169c1e7a2c6acc4c59dfcf8b089896d6881925b. Sin embargo, no proporcionaron un rango de versiones afectadas. La versión 3.8.2 fue probada y confirmada como vulnerable; otras versiones no fueron probadas pero también podrían ser vulnerables.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.