PT-2026-6211 · Melange · Melange

1Seal · CVE-2026-24843 · Publicado 2026-02-03 · Atualizado 2026-02-06

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.4

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas melange versões 0.11.3 a 0.40.2

Descrição O melange é uma ferramenta que permite aos usuários criar pacotes APK usando pipelines declarativos. Existe uma vulnerabilidade de segurança na qual um atacante que possa influenciar o fluxo tar de uma VM convidada do QEMU poderia escrever arquivos fora do diretório de workspace pretendido no sistema host. A função retrieveWorkspace extrai entradas tar sem validar se os caminhos permanecem dentro do workspace, permitindo a travessia de caminhos por meio do uso de sequências '../'.

Recomendações Atualize para a versão 0.40.3 ou posterior.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-24843

GHSA-QXX2-7H4C-83F4

GO-2026-4407

SUSE-SU-2026:0403-1

Produtos afetados

Melange

Referências · 88

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/24xxx/CVE-2026-24843.json · Exploit
• https://github.com/chainguard-dev/melange · Nota
• https://github.com/chainguard-dev/melange/commit/6e243d0d46699f837d7c392397a694d2bcc7612b · Correção
• https://github.com/chainguard-dev/melange/security/advisories/GHSA-qxx2-7h4c-83f4 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-25122 · Nota
• https://suse.com/security/cve/CVE-2026-24844 · Nota
• https://suse.com/security/cve/CVE-2023-43633 · Nota
• https://suse.com/security/cve/CVE-2025-69820 · Nota
• https://suse.com/security/cve/CVE-2026-24512 · Nota
• https://suse.com/security/cve/CVE-2026-23849 · Nota
• https://suse.com/security/cve/CVE-2026-23991 · Nota
• https://suse.com/security/cve/CVE-2026-22039 · Nota
• https://suse.com/security/cve/CVE-2026-23953 · Nota
• https://suse.com/security/cve/CVE-2026-20904 · Nota
• https://suse.com/security/cve/CVE-2026-21696 · Nota