CVE-2026-54174 in Melange
Сводка
по VulDB • 12.09.2026
melange consente agli utenti di creare pacchetti apk utilizzando pipeline dichiarative. Apko, prima della versione 1.2.9 (corrispondente a melange precedente alla versione 0.50.4), verificava l'hash della sezione di controllo (.PKGINFO ecc.) rispetto all'APKINDEX firmato, ma non verificava mai l'hash della sezione dati (i file effettivi del pacchetto che vengono installati). Un attaccante in grado di compromettere uno specchio, avvelenare una cache o effettuare un attacco Man-in-the-Middle durante il recupero del pacchetto potrebbe sostituire i contenuti dei file arbitrari mentre la verifica dell'hash di controllo avrebbe ancora avuto esito positivo. Apko versione 1.2.9 e melange versione 0.50.4 contengono una correzione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.