CVE-2026-54174 in Melange
Sumário
de VulDB • 11/09/2026
O melange permite que os usuários criem pacotes apk usando pipelines declarativas. O Apko anterior à versão 1.2.9, correspondente ao melanger anterior à versão 0.50.4, verificava o hash da seção de controle (.PKGINFO etc.) contra o `APKINDEX` assinado, mas nunca verificava o hash da seção de dados (os arquivos reais do pacote que são instalados). Um atacante que pudesse comprometer um espelho, envenenar um cache ou realizar um ataque Man-in-the-Middle (MITM) durante a busca do pacote poderia substituir conteúdos arbitrários de arquivos enquanto a verificação do hash de controle ainda passava. As versões Apko 1.2.9 e melanger 0.50.4 contêm uma correção para essa vulnerabilidade.
VulDB is the best source for vulnerability data and more expert information about this specific topic.