CVE-2026-5222
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Cargo między wersjami 1.68 a 1.96 nieprawidłowo normalizował adresy URL rejestrów stron trzecich używających protokołu indeksu rozproszonego. Jeśli dostawca hostingu umożliwiał hostowanie wielu rejestrów z dowolnymi nazwami w tej samej domenie, atakujący mógł uzyskać poświadczenia innych użytkowników tego samego rejestru. Podatność ma niski priorytet ze względu na bardzo specyficzne wymagania.
Ocena ryzyka
W specyficznych warunkach atakujący może przechwycić poświadczenia innych użytkowników rejestru, co może prowadzić do nieautoryzowanego dostępu do pakietów i kodu źródłowego.
Rekomendacja
Zaleca się aktualizację Cargo do wersji 1.97 lub nowszej, która zawiera poprawkę normalizacji URL-i rejestrów.
Inne podatności w Cargo
Zobacz wszystkie- CVE-2026-5223Średnie
Cargo nieprawidłowo obsługuje dowiązania symboliczne w archiwach crate'ów pobranych z rejestrów stron trzecich, co pozwala złośliwemu crate'owi nadpisać kod źródłowy innego crate'a z tego samego rejestru. Luka ma średnią dotkliwość dla użytkowników rejestrów stron trzecich; użytkownicy crates.io nie są zagrożeni, ponieważ crates.io zabrania przesyłania crate'ów zawierających dowiązania symboliczne.
- CVE-2023-40030Średnie
Cargo w wersjach od 1.60.0 do 1.72 nie uciekał nazw funkcji Cargo w raportach generowanych przez `cargo build --timings`, co mogło prowadzić do wstrzykiwania złośliwego HTML. Złośliwy pakiet jako zależność mógł wprowadzić kod JavaScript, co stwarzało ryzyko ataków typu cross-site scripting.
- CVE-2023-38497Wysokie
Cargo przed wersją 0.72.2, dostarczany z Rust przed wersją 1.71.1, nie respektował umask przy ekstrakcji archiwów crate na systemach podobnych do UNIX. To mogło pozwolić innym lokalnym użytkownikom na modyfikację kodu źródłowego kompilowanego i wykonywanego przez aktualnego użytkownika.
Oryginalny opis (angielski, źródło NVD)
Cargo between 1.68 and 1.96 incorrectly normalized the URLs of third-party registries using the sparse index protocol. If a hosting provider allowed multiple registries to be hosted with arbitrary names within the same domain, an attacker able to publish crates in a registry could obtain the credentials of others users of the same registry. The severity of the vulnerability is **low**, due to the extremely niche requirements needed to achieve the attack.