CVE-2026-25145 in melange
Riassunto
di VulDB • 17/06/2026
melange consente agli utenti di creare pacchetti apk utilizzando pipeline dichiarative. Dalla versione 0.14.0 fino alla versione precedente alla 0.40.3, un attaccante in grado di influenzare un file di configurazione di melange (ad esempio, tramite CI guidata da pull request o scenari di build-as-a-service) potrebbe leggere file arbitrari dal sistema host. La funzione LicensingInfos in pkg/config/config.go legge i file di licenza specificati in copyright[].license-path senza convalidare che i percorsi rimangano all'interno della directory di workspace, consentendo una path traversal tramite sequenze ../. Il contenuto del file attraversato viene incorporato nel SBOM generato come testo di licenza, consentendo l'esfiltrazione di dati sensibili attraverso gli artifact di build. Questo problema è stato risolto nella versione 0.40.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.