CVE-2026-25145 in melange
Tóm tắt
Bởi VulDB • 22/06/2026
melange cho phép người dùng xây dựng các gói apk bằng cách sử dụng các pipeline khai báo. Từ phiên bản 0.14.0 đến trước phiên bản 0.40.3, một kẻ tấn công có thể ảnh hưởng đến tệp cấu hình melange (ví dụ: thông qua CI dựa trên pull request hoặc các kịch bản build-as-a-service) có thể đọc các tệp tùy ý từ hệ thống chủ. Hàm LicensingInfos trong pkg/config/config.go đọc các tệp giấy phép được chỉ định trong copyright[].license-path mà không xác thực xem đường dẫn có nằm trong thư mục workspace hay không, cho phép truy cập vượt ra ngoài (path traversal) thông qua chuỗi ../. Nội dung của tệp bị truy xuất sẽ được nhúng vào SBOM đã tạo dưới dạng văn bản giấy phép, cho phép đánh cắp dữ liệu nhạy cảm thông qua các sản phẩm xây dựng (build artifacts). Vấn đề này đã được vá trong phiên bản 0.40.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.