CVE-2026-25145 in melange
要約
〜によって VulDB • 2026年06月22日
melangeは、宣言型パイプラインを使用してapkパッケージを構築することをユーザーに許可します。バージョン0.14.0から0.40.3未満の間、melancheの設定ファイルに影響を与えることができる攻撃者（例えば、プルリクエスト駆動型のCIやビルド・アズ・ア・サービスシナリオを通じて）は、ホストシステム上の任意のファイルを閲覧することができました。pkg/config/config.go内のLicensingInfos関数は、copyright[].license-pathで指定されたライセンスファイルを読み込みますが、パスがワークスペースディレクトリの範囲内にあるかどうかを検証しないため、../シーケンスによるパストラバーサルが可能になります。トラバースされたファイルの内容は、生成されるSBOMにライセンステキストとして埋め込まれることで、ビルドアーティファクトを通じて機密データの漏洩を可能にします。この問題はバージョン0.40.3で修正されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.