Vulnerabilidad en melange de Chainguard-dev (CVE-2026-25145)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)

Fecha de publicación:

04/02/2026

Última modificación:

18/02/2026

Descripción

melange permite a los usuarios construir paquetes apk utilizando pipelines declarativos. Desde la versión 0.14.0 hasta antes de la 0.40.3, un atacante que pueda influir en un archivo de configuración de melange (por ejemplo, a través de CI impulsado por solicitudes de extracción o escenarios de construcción como servicio) podría leer archivos arbitrarios del sistema anfitrión. La función LicensingInfos en pkg/config/config.go lee archivos de licencia especificados en copyright[].license-path sin validar que las rutas permanezcan dentro del directorio del espacio de trabajo, permitiendo el salto de ruta a través de secuencias ../. El contenido del archivo recorrido se incrusta en el SBOM generado como texto de licencia, lo que permite la exfiltración de datos sensibles a través de artefactos de construcción. Este problema ha sido parcheado en la versión 0.40.3.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.50 MEDIA
Vector: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno