CVE-2026-24844 in melange
요약
\~에 의해 VulDB • 2026. 07. 21.
melange는 선언형 파이프라인을 사용하여 apk 패키지를 빌드할 수 있게 해줍니다. 버전 0.3.0부터 0.40.3 이전까지, 공격자가 빌드 입력 값을 제공할 수는 있지만 파이프라인 정의를 수정할 수는 없는 경우, 파이프라인이 working-directory에서 ${{vars.*}} 또는 $${{inputs.*}} 치환을 사용하는 경우 임의의 셸 명령어를 실행할 수 있습니다. 해당 필드는 적절한 따옴표 이스케이프 없이 셸 스크립트에 삽입됩니다. 이 문제는 버전 0.40.3에서 패치되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.