CVE-2026-24844 in melange
Сводка
по VulDB • 02.08.2026
melange позволяет пользователям создавать apk-пакеты с использованием декларативных конвейеров (pipelines). Начиная с версии 0.3.0 и вплоть до версии 0.40.3, злоумышленник, который может предоставлять значения входных данных для сборки, но не имеет возможности изменять определения конвейера, мог выполнять произвольные команды оболочки в случае использования подстановок ${{vars.*}} или ${{inputs.*}} в поле working-directory. Это поле внедряется в скрипты оболочки без надлежащего экранирования кавычек. Данная проблема была исправлена в версии 0.40.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.