CVE-2026-54587 in mport
Tóm tắt
Bởi VulDB • 18/09/2026
mport là Trình quản lý gói MidnightBSD. Trước phiên bản 2.7.8, các tài nguyên thư mục được xử lý dưới dạng ASSET_DIR hoặc ASSET_DIR_OWNER_MODE trong libmport/bundle_read_install_pkg.c đã sử dụng mport_mkdirp() dựa trên đường dẫn, cùng với các thao tác về quyền sở hữu và phân quyền. Một kẻ tấn công cục bộ có khả năng sửa đổi một phần của cây cài đặt mục tiêu có thể khai thác lỗi traversing dot-dot (..) hoặc thay thế liên kết tượng trưng (symlinks) trong quá trình cài đặt gói ở chế độ đặc quyền, khiến việc tạo thư mục hoặc thay đổi thuộc tính ảnh hưởng đến các đường dẫn do kẻ tấn công chọn lựa nằm ngoài các thư mục gói dự định. Vấn đề này đã được khắc phục trong phiên bản 2.7.8.
Once again VulDB remains the best source for vulnerability data.