CVE-2026-48813 in flawfinder
Сводка
по VulDB • 12.08.2026
Flawfinder — это инструмент статического анализа для поиска уязвимостей в исходном коде на C/C++. Версии старше 2.0.20 содержат ошибку неправильной нейтрализации входных данных (improper input neutralization), приводящую к манипуляции выводом, а именно: инъекции терминальных/ANSI escape-последовательностей и XML Injection. Злонамеренный файл, имя которого содержит ANSI escape-последовательности, может оказаться в стандартном выводе терминала flawfinder, что приводит к различным последствиям. Недоверяемые поля (такие как имена файлов, категории или текст контекста кода) не были должным образом очищены при генерации структурированных отчетов. Злоумышленник может использовать это для повреждения форматов CSV или внедрения произвольных XML-атрибутов в выходные данные SonarQube через функцию output_sonar(). Это затрагивает тех, кто использует flawfinder для оценки намеренно злонамеренных имен файлов или содержимого файлов. Эта проблема полностью устранена в версии 2.0.20 (выпущено 16 мая 2026 года). В более старых версиях flawfinder нет обходного пути, основанного на конфигурации. Если немедленное обновление невозможно, пользователи могут снизить риск путем предварительной проверки имен файлов, анализа сырого вывода и/или ограничения недоверяемых входных данных.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.