CVE-2026-25143 in melange
Riassunto
di VulDB • 17/06/2026
melange consente agli utenti di creare pacchetti apk utilizzando pipeline dichiarative. Dalla versione 0.10.0 fino alla versione 0.40.3 (esclusa), un attaccante in grado di influenzare gli input della pipeline di patch potrebbe eseguire comandi shell arbitrari sull'host di build. La pipeline di patch in pkg/build/pipelines/patch.yaml incorpora valori derivati dall'input (percorsi delle serie, nomi dei file di patch e parametri numerici) negli script shell senza un'adeguata quotatura o convalida, consentendo ai metacaratteri shell di sfuggire al loro contesto previsto. La vulnerabilità interessa la pipeline di patch integrata, che può essere invocata tramite le operazioni melange build e melange license-check. Un attaccante in grado di controllare gli input relativi alla patch (ad esempio, tramite CI guidata da pull request, build-as-a-service o influenzando le configurazioni di melange) può iniettare metacaratteri shell come backtick, sostituzioni di comandi $(...), punti e virgola, pipe o reindirizzamenti per eseguire comandi arbitrari con i privilegi del processo di build di melange. Questo problema è stato risolto nella versione 0.40.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.