CVE-2026-53970
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
ZeroBrew w wersji 0.3.1 i wcześniejszych ma podatność polegającą na braku weryfikacji integralności w warstwie zgodności Ruby. Atakujący sieciowy może podmienić zasoby formuł lub łatki URL, wykonując dowolny kod podczas instalacji ze źródeł.
Ocena ryzyka
Atakujący może przechwycić lub podmienić pobierane pliki, co może prowadzić do wykonania złośliwego kodu na systemie użytkownika.
Rekomendacja
Zaleca się aktualizację ZeroBrew do najnowszej wersji oraz unikanie instalacji ze źródeł z niezaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
ZeroBrew version 0.3.1 and prior contains a missing integrity verification vulnerability in the Ruby compatibility shim that allows network attackers to execute arbitrary code by substituting malicious content at formula resource or URL-based patch URLs without checksum validation. Attackers can intercept or replace downloads for secondary resource and patch paths in shim.rb, injecting attacker-controlled build steps or source tree modifications that execute during source builds via 'zb install --build-from-source' without any integrity warning.