PT-2026-36990
CVE-2026-42575
·
تاريخ النشر
2026-05-04
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
apko (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يقوم apko بالتحقق من التوقيع الموجود على ملف ’APKINDEX.tar.gz‘، لكنه يفشل في مقارنة حزم ’.apk‘ التي تم تنزيلها بشكل فردي مع المجموع الاختباري المسجل في الفهرس الموقع. على الرغم من تحليل المجموع الاختباري عبر
ChecksumString() وحساب هاش التحكم في الحزمة التي تم تنزيلها، إلا أن هذه القيم لا تتم مقارنتها داخل دالة getPackageImpl(). وهذا يسمح بقبول الحزم غير المتطابقة دون إشعار. يمكن للمهاجم القادر على استبدال استجابات التنزيل، مثلًا من خلال مرآة مخترقة أو مستودع HTTP أو ذاكرة تخزين مؤقتة CDN ملوثة، تثبيت حزم تعسفية في الصور المُجمَّعة.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾