CVE-2026-10294

ŚrednieCVSS 4.3

Opublikowano: 01/06/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Znaleziono podatność w PackageKit do wersji 1.3.5. Dotyczy ona funkcji g_file_test w pliku src/pk-transaction.c komponentu API. Manipulacja argumentem frontend-socket prowadzi do nieprawidłowej autoryzacji. Atak może być wykonany zdalnie. Exploit został ujawniony publicznie i może być wykorzystywany.

Ocena ryzyka

Atakujący może zdalnie ominąć mechanizmy autoryzacji PackageKit, potencjalnie instalując lub usuwając pakiety bez odpowiednich uprawnień, co może prowadzić do przejęcia kontroli nad systemem.

Rekomendacja

Zaleca się natychmiastową aktualizację PackageKit do wersji nowszej niż 1.3.5 oraz monitorowanie systemów pod kątem oznak wykorzystania tej podatności.

Inne podatności w PackageKit

CVE-2026-41651Wysokie
PackageKit w wersjach od 1.0.2 do 1.3.4 zawiera podatność TOCTOU na flagach transakcji, umożliwiającą nieuprzywilejowanym użytkownikom instalację pakietów jako root. Błąd wynika z trzech problemów w kodzie: bezwarunkowego nadpisywania flag, cichego odrzucania zmian stanu oraz późnego odczytu flag w momencie wykonania.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been found in PackageKit up to 1.3.5. Affected is the function g_file_test of the file src/pk-transaction.c of the component API. Such manipulation of the argument frontend-socket leads to improper authorization. The attack can be executed remotely. The exploit has been disclosed to the public and may be used.