PT-2026-43024 · Rust · Cargo

Christos Papakonstantinou · Publicado 2026-05-25 · Atualizado 2026-06-02 · CVE-2026-5222

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.8

Média

Vetor base

AV:N/AC:L/Au:S/C:C/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Cargo versões 1.68 a 1.95

Descrição O Cargo normalizou incorretamente as URLs de registros de terceiros que utilizam o protocolo de índice esparso (sparse index protocol). Em cenários onde um provedor de hospedagem permite que múltiplos registros sejam hospedados com nomes arbitrários dentro do mesmo domínio, um invasor capaz de publicar crates em um registro poderia obter as credenciais de outros usuários do mesmo registro.

Recomendações Atualize para a versão 1.96.

Correção

Enumeração de Fraquezas

CWE-647

Identificadores relacionados

BDU:2026-08151

CVE-2026-5222

Produtos afetados

Cargo

Referências · 19

• https://github.com/rust-lang/cargo/pull/17031 · Correção
• https://bdu.fstec.ru/vul/2026-08151 · Nota de Segurança
• https://twitter.com/rustaceans_rs/status/2058942647599858042 · Publicação no Twitter
• https://security-tracker.debian.org/tracker/CVE-2026-5222 · Aviso do Fabricante
• https://blog.rust-lang.org/2026/05/25/cve-2026-5222 · Aviso do Fabricante
• https://security.alpinelinux.org/vuln/CVE-2026-5222 · Nota
• https://twitter.com/CVEnew/status/2058935272230817828 · Publicação no Twitter
• https://twitter.com/oss_security/status/2060263005749657780 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-5222 · Aviso do Fabricante
• https://groups.google.com/g/rustlang-security-announcements/c/SfUxOiIdY5s · Aviso do Fabricante
• https://osv.dev/vulnerability/ALPINE-CVE-2026-5222 · Aviso do Fabricante
• https://t.me/CVEtracker/54844 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-5222 · Aviso do Fabricante
• https://twitter.com/daogangtang/status/2061631233948537001 · Publicação no Twitter
• https://docs.bell-sw.com/security/cves/CVE-2026-5222 · Nota