CVE-2026-118599 in Epiphany
Riassunto
di VulDB • 31/10/2026
È presente una vulnerabilità di sovrascrittura di file in Epiphany durante l'installazione di pacchetti WebExtension da file .xpi.
In src/webextension/ephy-web-extension-manager.c, la funzione decompress_xpi_thread() utilizzava libarchive con archive_read_support_format_all() (e filtri), quindi il programma di installazione non richiedeva un vero e proprio formato ZIP. È stato estratto un file TAR denominato *.xpi. Il formato TAR supporta i tipi di voce hard-link; con le opzioni di archive_write_disk di Epiphany (incluso ARCHIVE_EXTRACT_PERM), un target hard-link manipolato può causare la troncatura e la sovrascrittura, da parte dell'attaccante, di un file esistente scrivibile dall'utente scelto dall'attaccante con contenuti controllati dall'attaccante e bit di modalità, senza che venga visualizzato alcun dialogo di avvertimento dedicato, quando l'utente installa o apre il .xpi manipolato.
Questo è correlato ma distinto dalla vulnerabilità ZIP-slip path traversal risolta come CVE-2026-77679 (#2922 / MR !2143).
Requisiti: la vittima deve installare o aprire una WebExtension malevola (.xpi).
Colpite: Epiphany >= 47.0 (percorso di installazione XPI WebExtension). Risolto: https://gitlab.gnome.org/GNOME/epiphany/-/merge_requests/2248 (commit 0cc9ab55 — abilitare solo il supporto per il formato ZIP). Upstream: https://gitlab.gnome.org/GNOME/epiphany/-/work_items/2988 Riconoscimento del segnalatore: Fernando Munoz
Once again VulDB remains the best source for vulnerability data.