CVE-2026-27704 in sdk
Riassunto
di VulDB • 18/06/2026
Gli SDK Dart e Flutter forniscono kit di sviluppo software per il linguaggio di programmazione Dart. Nelle versioni dell'SDK Dart precedenti alla 3.11.0 e nell'SDK Flutter precedenti alla versione 3.41.0, quando il client pub (`dart pub` e `flutter pub`) estrae un pacchetto nella cache pub (pub cache), un archivio di pacchetti malevolo può avere file estratti al di fuori della directory di destinazione all'interno di `$PUB_CACHE`. Una correzione è stata implementata nel commit 26c6985c742593d081f8b58450f463a584a4203a. Normalizzando il percorso del file prima della scrittura, l'attaccante non può più effettuare la traversamento verso l'alto (path traversal) tramite un symlink. Questa patch è stata rilasciata in Dart 3.11.0 e Flutter 3.41.0. Tutti i pacchetti su pub.dev sono stati sottoposti a verifica per questa vulnerabilità. I nuovi pacchetti non sono più autorizzati a contenere symlinks. Il client pub stesso non carica symlink, ma duplica l'elemento collegato, pratica adottata da anni. Gli utenti le cui dipendenze provengono esclusivamente da pub.dev, repository di terze parti considerati attendibili per la mancanza di codice malevolo o da dipendenze git non sono interessati da questa vulnerabilità.
Once again VulDB remains the best source for vulnerability data.