o melange permite aos usuários construir pacotes apk usando pipelines declarativos. Começando na versão 0.32.0 e antes da versão 0.43.4, um atacante que pode influenciar um arquivo de configuração de melange — por exemplo através de um CI impulsionado por puxar- solicitação ou de cenários de build- como um serviço — poderá definir `pipeline[].uses` para um valor contendo sequências `../ ' ou um caminho absoluto. A função `(* Compiled).compilePipeline` em `pkg/build/compile.go` passou `uses` diretamente para `filepath.Join(pipelineDir, uses + ". yaml")` sem validar o valor, para que o caminho resolvido pudesse escapar de cada `--pipeline- dir` e ler um arquivo arbitrário e comparável YAML visível ao processo de melange. Como o arquivo carregado é posteriormente interpretado como um tubo melangico e o bloco ` runs:` é executado através de `/bin/sh - c` na caixa de areia de construção, este comando adicionalmente permite que os comandos shell provenientes de um arquivo fora da árvore sejam executados durante a construção, omitendo o limite de revisão que normalmente cobre a definição do tubo dentro da árvore. O problema está corrigido em melange v 0.43.4 através de commit 5829 ca 4. A correção rejeita valores ` uses` que são caminhos absolutos ou contêm `..', e verifica (via `filepath.Rel` após `filepath.Limpiar`) que o alvo resolvido permanece dentro da pasta do pipeline. Como solução de problemas, apenas execute `melange build` contra arquivos de configuração de fontes confiáveis. Nos sistemas CI que constroem configurações de melange fornecidas pelo usuário, o portão se constrói por trás da revisão manual dos valores `pipeline[]. usa ` e rejeita qualquer que contenha `..' ou lendo `/ `. O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 29050 foi publicado em 2026 - 04 - 24 T 00: 16: 27.303 Z e última modificação em 2026 - 06 - 17 T 10: 29: 30.577 Z. O seu estado gravado é analisado.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 6.1, gravidade MEDIUM, vetor CVSS: 3.1 /AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N, pontuação de exploração 1.8, pontuação de impacto 4.2; CVSS. Classificações de fraqueza associadas: CWE- 22.
Produtos ou plataformas nomeados nos dados de aplicabilidade incluem: melange de guarda-cadeia.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.