CVE-2026-92162
Flatpak vulnerable a salto de ruta mediante el parámetro "arch" no validado en DeployAppstream
- Publicado
- 20 oct 2026
- Actualizado
- 20 oct 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 17 sept 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 14,1 %
- Fecha del modelo
- 27 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Flatpak es un sistema para compilar, distribuir y ejecutar aplicaciones de escritorio en sandbox en Linux. Antes de la versión 1.18.1, en sistemas donde al menos un remoto OCI está configurado (lo más común en sistemas Fedora), un usuario local malicioso en una sesión local activa podría usar un nombre de arquitectura manipulado para engañar al proceso `flatpak-system-helper` y hacer que cree un árbol de directorios propiedad de root con contenido determinado por el remoto OCI, además de un archivo `lock` y un directorio `icons` propiedad de root, fuera del directorio raíz previsto. Si esta vulnerabilidad se combina con otras vulnerabilidades también corregidas en 1.18.1, la combinación puede llevar a una escalada de privilegios locales a root. No se cree que esta vulnerabilidad en particular sea explotable si no hay remotos OCI configurados (algo común en sistemas que no son Fedora). La versión 1.18.1 corrige el problema.
Fuentes
Write-up educativo y PoC en modo de prueba para CVE-2026-92162, un path traversal en el parámetro arch de DeployAppstream de Flatpak que permite la creación de directorios root.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.