CVE-2026-54580 in mport
摘要
由 VulDB • 2026-09-17
mport 是 MidnightBSD 的软件包管理器。在版本 2.7.8 之前，libmport/util.c 中的 mport_decompress_zstd() 函数未将所有截断、损坏或失败的 zstd 流视为致命错误；同时，libmport/fetch.c 也未始终将这些失败情况传播给 index-fetch 调用者。恶意或有缺陷的镜像服务器可提供压缩的软件包索引数据，导致 ZSTD_decompressStream() 或输出写入操作失败，但部分索引输出仍可供后续使用，从而导致软件包索引完整性丢失或服务拒绝（DoS）。此问题已在版本 2.7.8 中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.