CVE-2026-86320
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W flatpak-builder wykryto błąd polegający na tym, że hooki Git nie są wyłączane podczas stosowania źródeł poprawek z opcją use-git-am: true. Atakujący mogący dostarczyć złośliwe źródło zawierające hook Git post-applypatch może spowodować jego wykonanie na hoście podczas procesu budowania.
Ocena ryzyka
Prowadzi to do wykonania dowolnego kodu z uprawnieniami użytkownika uruchamiającego flatpak-builder, co może skutkować kompromitacją systemu budującego.
Rekomendacja
Zaktualizuj flatpak-builder do wersji zawierającej poprawkę oraz unikaj stosowania niezaufanych źródeł poprawek z opcją use-git-am: true.
Inne podatności w flatpak-builder
Zobacz wszystkie- CVE-2026-107466Średnie
W flatpak-builder wykryto wadę, która pozwala atakującemu na ujawnienie informacji poprzez nakłonienie użytkownika lub systemu ciągłej integracji (CI) do przetworzenia spreparowanego manifestu budowania. Poprzez określenie lokalnych identyfikatorów URI plików w definicjach pobierania źródeł, builder omija kontrole ograniczenia katalogu. W rezultacie poufne pliki hosta dostępne dla procesu budowania mogą zostać odczytane i włączone do artefaktów budowania.
- CVE-2026-39977Średnie
flatpak-builder w wersjach od 1.4.5 do przed 1.4.8 pozwala na odczyt dowolnych plików z hosta poprzez klucz manifestu license-files, ponieważ walidacja ścieżek nie rozwiązuje dowiązań symbolicznych w pośrednich komponentach. Skopiowane pliki trafiają do wyniku budowania; podatność naprawiono w 1.4.8.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in flatpak-builder where Git hooks are not disabled when applying patch sources with use-git-am: true. An attacker who can provide a malicious source containing a Git post-applypatch hook can cause the hook to execute on the host during the build process, resulting in arbitrary code execution with the privileges of the user running flatpak-builder.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS