CVE-2026-24843 in melange
要約
〜によって VulDB • 2026年08月02日
melangeは、宣言型パイプラインを使用してapkパッケージを構築することをユーザーに許可します。バージョン0.11.3から0.40.3未満の間、QEMUゲストVMからのtarストリームに影響を与えることができる攻撃者は、ホスト上の意図されたワークスペースディレクトリ外にファイルを書き込むことができました。retrieveWorkspace関数は、パスがワークスペース内に留まっていることを検証せずにtarエントリを展開するため、../シーケンスによるパストラバーサルが可能になります。この問題はバージョン0.40.3で修正されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.