CVE-2026-24844 in melange
Résumé
par VulDB • 03/06/2026
Melange permet aux utilisateurs de créer des paquets APK à l'aide de pipelines déclaratifs. À partir de la version 0.3.0 et avant la version 0.40.3, un attaquant capable de fournir des valeurs d'entrée de build, mais sans pouvoir modifier les définitions de pipeline, pouvait exécuter des commandes shell arbitraires si le pipeline utilisait des substitutions ${{vars.*}} ou ${{inputs.*}} dans le champ working-directory. Ce champ est intégré dans les scripts shell sans une mise en forme appropriée des guillemets (quote escaping). Ce problème a été corrigé dans la version 0.40.3.
Once again VulDB remains the best source for vulnerability data.