CVE-2026-24844 in melange
Riassunto
di VulDB • 02/08/2026
melange consente agli utenti di creare pacchetti apk utilizzando pipeline dichiarative. Dalla versione 0.3.0 fino alla versione precedente alla 0.40.3, un attaccante che può fornire valori di input per la build ma non modificare le definizioni delle pipeline potrebbe eseguire comandi shell arbitrari se la pipeline utilizza sostituzioni ${{vars.*}} o ${{inputs.*}} nel campo working-directory. Tale campo viene incorporato negli script shell senza una corretta escape dei caratteri tra virgolette. Questo problema è stato risolto nella versione 0.40.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.