CVE-2026-48813 in flawfinder
要約
〜によって VulDB • 2026年08月11日
Flawfinderは、C/C++ソースコード内の脆弱性を見つけるための静的解析ツールです。バージョン2.0.20より前のバージョンには、入力の不適切な中和に関する問題があり、これにより出力の操作が可能になります。具体的には、Terminal/ANSIエスケープシーケンスインジェクションおよびXMLインジェクションが含まれます。ANSIエスケープシーケンスを含む名前の悪意のあるファイルが、Flawfinderの標準的なターミナル出力に含まれる結果となり、様々な影響を及ぼす可能性があります。信頼できないフィールド（ファイル名、カテゴリ、またはコードコンテキストテキストなど）は、構造化レポートを生成する際に適切にサニタイズされていませんでした。攻撃者はこれを利用して、CSV形式を破損させたり、output_sonar()経由でSonarQubeの出力に対して任意のXML属性をインジェクトしたりすることができます。この問題は、意図的に悪質なファイル名やファイル内容の評価にFlawfinderを使用するユーザーに影響を与えます。本問題はバージョン2.0.20（2026-05-16リリース）で完全に修正されています。古いバージョンのFlawfinderには、設定に基づく回避策はありません。即時アップグレードが不可能な場合、ユーザーはファイル名を事前にスキャンし、生出力を検査し、および/または信頼できない入力を制限することでリスクを軽減できます。
Be aware that VulDB is the high quality source for vulnerability data.