CVE-2026-25145 in melange
Sumário
de VulDB • 22/06/2026
O melange permite que os usuários criem pacotes apk usando pipelines declarativos. Da versão 0.14.0 até antes da 0.40.3, um atacante capaz de influenciar um arquivo de configuração do melange (por exemplo, por meio de CI baseado em pull request ou cenários de build-as-a-service) poderia ler arquivos arbitrários do sistema host. A função LicensingInfos no pkg/config/config.go lê os arquivos de licença especificados em copyright[].license-path sem validar se os caminhos permanecem dentro do diretório do workspace, permitindo traversal de caminho (path traversal) por meio de sequências ../. O conteúdo do arquivo acessado é incorporado ao SBOM gerado como texto da licença, possibilitando a exfiltração de dados sensíveis através dos artefatos de build. Este problema foi corrigido na versão 0.40.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.