PT-2026-31657 · Oma+2 · Oma+2

CVE-2026-39958 · Publicado 2026-04-09 · Atualizado 2026-04-09

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Name of the Vulnerable Software and Affected Versions oma versões anteriores a 1.25.2

Description oma, um gerenciador de pacotes para AOSC OS, apresenta uma falha onde o componente oma-topics lida incorretamente com metadados de servidores de repositório remotos. Especificamente, ele busca metadados para repositórios de teste nomeados "Topic Manifests" de endpoints como {mirror}/debs/manifest/topics.json e os registra como entradas de fonte APT. A falta de validação de entrada no campo 'name' dentro desses metadados permite que um agente malicioso injete Topic Manifests malformados, potencialmente levando à adição de entradas de fonte APT maliciosas em /etc/apt/sources.list.d/atm.list.

Recommendations Atualize para a versão 1.25.2 ou posterior.

Exploit

Correção

Enumeração de Fraquezas

CWE-93

Identificadores relacionados

CVE-2026-39958

GHSA-86JC-7R6Q-CR3F

Produtos afetados

Aosc Os

Apt

Oma

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/39xxx/CVE-2026-39958.json · Exploit
• https://github.com/AOSC-Dev/oma/pull/733 · Nota
• https://github.com/AOSC-Dev/oma/security/advisories/GHSA-86jc-7r6q-cr3f · Nota
• https://github.com/AOSC-Dev/oma/releases/tag/v1.25.2 · Nota
• https://github.com/AOSC-Dev/oma/commit/b361c0f219bbf91a684610c76210f71f093dbc18 · Nota
• https://twitter.com/CVEnew/status/2042302795710414961 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-39958 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-39958 · Nota de Segurança