Към съдържанието
Търсене

CVE-2026-54174: chainguard-dev melange, логическа грешка

8.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

melange allows users to build apk packages using declarative pipelines. Apko prior to version 1.2.9, corresponding to melange prior to version 0.50.4, verified the control section hash (`.PKGINFO` etc.) against the signed `APKINDEX`, but never verified the data section hash (the actual package files that get installed). An attacker who could compromise a mirror, poison a cache, or MITM a package fetch could substitute arbitrary file contents while the control hash check still passed. Apko version 1.2.9 and melange version 0.50.4 contain a fix.

Засегнати продукти

  • chainguard-dev melange: < 0.50.4
  • chainguard-dev apko: < 1.2.9

Вид слабост

История

  • 11 септември 2026 Публикувано

Други уязвимости в chainguard-dev melange

Първоизточници

CVE-2026-54174: chainguard-dev melange, логическа грешка | freedomonline.bg