CVE-2026-25145

Nome do Software Vulnerável e Versões Afetadas melange versões 0.14.0 a 0.40.2

Descrição O melange permite que os usuários criem pacotes APK usando pipelines declarativos. Um atacante que possa influenciar um arquivo de configuração do melange pode ler arquivos arbitrários do sistema host. A função LicensingInfos em pkg/config/config.go lê arquivos de licença especificados em copyright[].license-path sem validar se os caminhos permanecem dentro do diretório de workspace, permitindo travessia de caminhos por meio de sequências '../'. O conteúdo do arquivo percorrido é incorporado ao SBOM gerado como texto de licença, permitindo a exfiltração de dados sensíveis por meio dos artefatos de build.

Recomendações Atualize para a versão 0.40.3 ou posterior.