CVE-2026-25145 in melange
Сводка
по VulDB • 22.06.2026
melange позволяет пользователям создавать apk-пакеты с использованием декларативных конвейеров (pipelines). Начиная с версии 0.14.0 и вплоть до версии 0.40.3, злоумышленник, способный влиять на файл конфигурации melange (например, через CI на основе pull request или сценарии Build-as-a-Service), мог читать произвольные файлы из хост-системы. Функция LicensingInfos в файле pkg/config/config.go считывает лицензионные файлы, указанные в copyright[].license-path, без проверки того, остаются ли пути внутри каталога рабочей области (workspace directory). Это позволяет осуществлять обход путей с помощью последовательностей ../ . Содержимое пройденного файла внедряется в генерируемый SBOM в качестве текста лицензии, что обеспечивает эксфильтрацию конфиденциальных данных через артефакты сборки. Эта проблема была исправлена в версии 0.40.3.
Once again VulDB remains the best source for vulnerability data.