CVE-2026-29050

إصدارات melange من 0.32.0 إلى 0.43.3

يمكن للمهاجم القادر على التلاعب بملف التكوين — كما هو الحال في سيناريوهات «البناء كخدمة» (build-as-a-service) أو سيناريوهات التكامل المستمر (CI) التي تعتمد على طلبات السحب (pull requests) — التلاعب بالمتغير pipeline[].uses لتضمين مسارات مطلقة أو تسلسلات ../. تفشل الدالة compilePipeline() الموجودة في pkg/build/compile.go في التحقق من صحة هذا المتغير قبل تمريره إلى filepath.Join()، مما يسمح للعملية بقراءة ملفات عشوائية قابلة للتحليل بلغة YAML خارج دليل خط الأنابيب المحدد. نظرًا لأن الملف الذي تم تحميله يُفسر على أنه خط أنابيب ويتم تنفيذ كتلة runs: الخاصة به عبر /bin/sh -c داخل بيئة البناء المعزولة (sandbox)، فإن هذا يتيح تنفيذ أوامر شل غير مصرح بها من ملفات خارج الشجرة، متجاوزًا حدود المراجعة القياسية.

قم بالتحديث إلى الإصدار 0.43.4.

لا تقم بتشغيل melange build إلا على ملفات التكوين من مصادر موثوقة.

في أنظمة CI التي تعالج التكوينات المقدمة من المستخدم، قم بتنفيذ مراجعة يدوية لقيم pipeline[].uses ورفض أي قيمة تحتوي على .. أو تبدأ بـ /.