CVE-2026-48813

Riepilogo

Flawfinder è uno strumento di analisi statica per individuare vulnerabilità nel codice sorgente C/C++. Le versioni precedenti alla 2.0.20 presentano un problema di neutralizzazione impropria dell'input che porta alla manipolazione dell'output, in particolare l'iniezione di sequenze di escape Terminal/ANSI e l'iniezione XML. Un file dannoso il cui nome contiene sequenze di escape ANSI può finire per essere incluso nell'output terminale standard di flawfinder, con molteplici effetti. I campi non attendibili (come nomi di file, categorie o testo di contesto del codice) non venivano adeguatamente sanificati durante la generazione di report strutturati. Un attaccante potrebbe sfruttare questo problema per corrompere i formati CSV o iniettare attributi XML arbitrari negli output SonarQube tramite output_sonar(). Colpisce coloro che utilizzano flawfinder per valutare nomi di file o contenuti di file intenzionalmente dannosi. Questo problema è stato completamente corretto nella versione 2.0.20 (rilasciata il 2026-05-16). Non esiste una soluzione alternativa basata sulla configurazione nelle versioni precedenti di flawfinder. Se un aggiornamento immediato non è possibile, gli utenti possono mitigare il rischio pre-scansionando i nomi dei file, ispezionando l'output grezzo e/o limitando gli input non attendibili.

• CVE-2026-48813-POCPoC

  Exploit proof-of-concept per l'iniezione di sequenze di escape del terminale tramite nomi di file dannosi che nasconde i risultati di scansione di Flawfinder; corretto nella versione 2.0.20.