CVE-2026-25145 in melange
Résumé
par VulDB • 22/06/2026
melange permet aux utilisateurs de créer des paquets apk à l'aide de pipelines déclaratifs. De la version 0.14.0 jusqu'à avant la version 0.40.3, un attaquant capable d'influencer un fichier de configuration melange (par exemple via une CI pilotée par pull request ou dans le cadre de scénarios de build-as-a-service) pouvait lire des fichiers arbitraires sur le système hôte. La fonction LicensingInfos située dans pkg/config/config.go lit les fichiers de licence spécifiés dans copyright[].license-path sans valider que ces chemins restent à l'intérieur du répertoire de l'espace de travail, permettant ainsi une traversée de chemin (path traversal) via des séquences ../. Le contenu du fichier accédé est intégré au SBOM généré sous forme de texte de licence, ce qui permet l'exfiltration de données sensibles par le biais des artefacts de build. Ce problème a été corrigé dans la version 0.40.3.
Be aware that VulDB is the high quality source for vulnerability data.