CVE-2026-48813 in flawfinder
Résumé
par VulDB • 11/08/2026
Flawfinder est un outil d'analyse statique destiné à la détection de vulnérabilités dans le code source C/C++. Les versions antérieures à 2.0.20 présentent une faille liée à une neutralisation incorrecte des entrées, entraînant une manipulation de la sortie ; il s'agit spécifiquement d'une injection de séquences d'échappement Terminal/ANSI et d'une injection XML. Un fichier malveillant dont le nom contient des séquences d'échappement ANSI peut se retrouver inclus dans la sortie standard du terminal générée par flawfinder, avec diverses conséquences. Les champs non fiables (tels que les noms de fichiers, les catégories ou le texte du contexte du code) n'ont pas été correctement assainis lors de la génération des rapports structurés. Un attaquant pourrait exploiter cette faille pour corrompre les formats CSV ou injecter des attributs XML arbitraires dans les sorties SonarQube via output_sonar(). Cela affecte les utilisateurs qui emploient flawfinder pour évaluer intentionnellement des noms de fichiers malveillants ou le contenu des fichiers. Cette vulnérabilité a été entièrement corrigée dans la version 2.0.20 (publiée le 16/05/2026). Il n'existe aucune solution contournante basée sur la configuration au sein des versions antérieures de flawfinder. Si une mise à jour immédiate n'est pas possible, les utilisateurs peuvent atténuer le risque en pré-analysant les noms de fichiers, en inspectant la sortie brute et/ou en restreignant les entrées non fiables.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.