CVE-2026-5223
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Cargo nieprawidłowo obsługuje dowiązania symboliczne w archiwach crate'ów pobranych z rejestrów stron trzecich, co pozwala złośliwemu crate'owi nadpisać kod źródłowy innego crate'a z tego samego rejestru. Luka ma średnią dotkliwość dla użytkowników rejestrów stron trzecich; użytkownicy crates.io nie są zagrożeni, ponieważ crates.io zabrania przesyłania crate'ów zawierających dowiązania symboliczne.
Ocena ryzyka
Organizacja używająca rejestrów stron trzecich może paść ofiarą wstrzyknięcia złośliwego kodu do zależności, co może prowadzić do naruszenia bezpieczeństwa aplikacji.
Rekomendacja
Należy unikać używania rejestrów stron trzecich, które nie zabraniają dowiązań symbolicznych, lub stosować dodatkowe mechanizmy weryfikacji integralności crate'ów.
Inne podatności w Cargo
Zobacz wszystkie- CVE-2026-5222Średnie
Cargo między wersjami 1.68 a 1.96 nieprawidłowo normalizował adresy URL rejestrów stron trzecich używających protokołu indeksu rozproszonego. Jeśli dostawca hostingu umożliwiał hostowanie wielu rejestrów z dowolnymi nazwami w tej samej domenie, atakujący mógł uzyskać poświadczenia innych użytkowników tego samego rejestru. Podatność ma niski priorytet ze względu na bardzo specyficzne wymagania.
- CVE-2023-40030Średnie
Cargo w wersjach od 1.60.0 do 1.72 nie uciekał nazw funkcji Cargo w raportach generowanych przez `cargo build --timings`, co mogło prowadzić do wstrzykiwania złośliwego HTML. Złośliwy pakiet jako zależność mógł wprowadzić kod JavaScript, co stwarzało ryzyko ataków typu cross-site scripting.
- CVE-2023-38497Wysokie
Cargo przed wersją 0.72.2, dostarczany z Rust przed wersją 1.71.1, nie respektował umask przy ekstrakcji archiwów crate na systemach podobnych do UNIX. To mogło pozwolić innym lokalnym użytkownikom na modyfikację kodu źródłowego kompilowanego i wykonywanego przez aktualnego użytkownika.
Oryginalny opis (angielski, źródło NVD)
Cargo incorrectly handled symlinks inside of crate tarballs downloaded from third-party registries, allowing a malicious crate to override the source code of another crate from the same registry. The severity of the vulnerability is **medium** for users of third-party registries. Users of crates.io are **not affected**, as crates.io forbids uploading crates containing any symlink.