CVE-2026-29051

إصدارات melange من 0.32.0 إلى 0.43.3

عند استخدام علامة الاشتراك الاختياري ’--persist-lint-results‘ عبر ’melange lint‘ أو ’melange build‘، يقوم البرنامج بإنشاء مسارات ملفات الإخراج عن طريق ربط المعلمة ’--out-dir‘ بقيمتي arch وpkgname المقروءتين من ملف التحكم .PKGINFO الخاص بملف APK. ونظرًا لعدم التحقق من صحة هذه القيم فيما يتعلق بفواصل المسارات أو تسلسلات «..»، فإن المهاجم الذي يزود مسار lint أو مسار البناء بملف APK ضار قد يتسبب في قيام النظام بكتابة تقرير lint بتنسيق JSON إلى مسار .json عشوائي يمكن للعملية الوصول إليه. وقد يؤدي ذلك إلى الكتابة فوق ملفات JSON أخرى موجودة على نظام الملفات. لا تؤثر هذه المشكلة إلا على عمليات النشر التي يتم فيها تمكين علامة «--persist-lint-results» بشكل صريح.

قم بالتحديث إلى الإصدار 0.43.4.

كحل مؤقت، تجنب تمرير العلامة ’--persist-lint-results‘ عند فحص أو إنشاء ملفات APK ذات محتويات .PKGINFO غير موثوق بها.

قم بتشغيل البرنامج كمستخدم ذي امتيازات منخفضة وقصر عمليات الكتابة على دليل معزول للحد من التأثير.