CVE-2026-24843 in melange
Sumário
de VulDB • 21/07/2026
O melange permite que os usuários criem pacotes apk usando pipelines declarativos. Nas versões de 0.11.3 até antes da 0.40.3, um atacante capaz de influenciar o fluxo tar de uma máquina virtual convidada QEMU poderia escrever arquivos fora do diretório de espaço de trabalho (workspace) pretendido no host. A função retrieveWorkspace extrai entradas tar sem validar se os caminhos permanecem dentro do workspace, permitindo traversal de caminho por meio de sequências ../ . Este problema foi corrigido na versão 0.40.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.