CVE-2026-92162
Flatpak vulnerabile a path traversal tramite il parametro "arch" non convalidato in DeployAppstream
- Pubblicato
- 20 ott 2026
- Aggiornato
- 20 ott 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 17 set 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBasso · prossimi 30 giorni
- Percentile
- 14,1%
- Data del modello
- 25 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Flatpak è un sistema per creare, distribuire ed eseguire applicazioni desktop sandboxed su Linux. Prima della versione 1.18.1, sui sistemi in cui è configurato almeno un remote OCI (caso più comune sui sistemi Fedora), un utente locale malintenzionato in una sessione locale attiva potrebbe utilizzare un nome di architettura appositamente craftato per indurre il processo `flatpak-system-helper` a creare un albero di directory di proprietà di root con contenuti determinati dal remote OCI, oltre a un file `lock` e una directory `icons` di proprietà di root, al di fuori della directory root prevista. Se questa vulnerabilità viene combinata con altre vulnerabilità anch'esse corrette nella 1.18.1, la combinazione può portare a un'escalation di privilegi locali a root. Si ritiene che questa specifica vulnerabilità non sia sfruttabile se non sono configurati remote OCI (caso comune sui sistemi non-Fedora). La versione 1.18.1 corregge il problema.
Fonti
Write-up educativo e PoC in modalità test per CVE-2026-92162, un path traversal nel parametro arch di DeployAppstream di Flatpak che consente la creazione di directory root.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.