CVE-2026-39977
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
flatpak-builder w wersjach od 1.4.5 do przed 1.4.8 pozwala na odczyt dowolnych plików z hosta poprzez klucz manifestu license-files, ponieważ walidacja ścieżek nie rozwiązuje dowiązań symbolicznych w pośrednich komponentach. Skopiowane pliki trafiają do wyniku budowania; podatność naprawiono w 1.4.8.
Ocena ryzyka
Złośliwy manifest lub źródło może spowodować wyciek poufnych plików z hosta do artefaktów budowania, co może ujawnić dane wrażliwe.
Rekomendacja
Zaktualizuj flatpak-builder do wersji 1.4.8 lub nowszej i unikaj budowania niezaufanych manifestów na hostach z danymi wrażliwymi.
Inne podatności w flatpak-builder
Zobacz wszystkie- CVE-2026-107466Średnie
W flatpak-builder wykryto wadę, która pozwala atakującemu na ujawnienie informacji poprzez nakłonienie użytkownika lub systemu ciągłej integracji (CI) do przetworzenia spreparowanego manifestu budowania. Poprzez określenie lokalnych identyfikatorów URI plików w definicjach pobierania źródeł, builder omija kontrole ograniczenia katalogu. W rezultacie poufne pliki hosta dostępne dla procesu budowania mogą zostać odczytane i włączone do artefaktów budowania.
- CVE-2026-86320Wysokie
W flatpak-builder wykryto błąd polegający na tym, że hooki Git nie są wyłączane podczas stosowania źródeł poprawek z opcją use-git-am: true. Atakujący mogący dostarczyć złośliwe źródło zawierające hook Git post-applypatch może spowodować jego wykonanie na hoście podczas procesu budowania.
Oryginalny opis (angielski, źródło NVD)
flatpak-builder is a tool to build flatpaks from source. From 1.4.5 to before 1.4.8, the license-files manifest key takes an array of paths to user defined licence files relative to the source directory of the module. The paths from that array are resolved using g_file_resolve_relative_path() and validated to stay inside the source directory using two checks - g_file_get_relative_path() which does not resolve symlinks and g_file_query_file_type() with G_FILE_QUERY_INFO_NOFOLLOW_SYMLINKS which only applies to the final path component. The copy operation runs on host. This can be exploited by using a crafted manifest and/or source to read arbitrary files from the host and capture them into the build output. This vulnerability is fixed in 1.4.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS