CVE-2026-92162
Flatpak vulnerável a path traversal via parâmetro "arch" não validado em DeployAppstream
- Publicado
- 20 de out. de 2026
- Atualizado
- 20 de out. de 2026
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 17 de set. de 2026
CVSS primário
nvd · CVSS 4.0
CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBaixo · próximos 30 dias
- Percentil
- 14,1%
- Data do modelo
- 25 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Flatpak é um sistema para compilar, distribuir e executar aplicações de desktop em sandbox no Linux. Antes da versão 1.18.1, em sistemas onde pelo menos um remote OCI está configurado (mais comum em sistemas Fedora), um usuário local malicioso em uma sessão local ativa poderia usar um nome de arquitetura forjado para induzir o processo `flatpak-system-helper` a criar uma árvore de diretórios pertencente ao root com conteúdo determinado pelo remote OCI, além de um arquivo `lock` e um diretório `icons` pertencentes ao root, fora do diretório raiz pretendido. Se esta vulnerabilidade for combinada com outras vulnerabilidades também corrigidas na 1.18.1, a combinação pode levar à escalada de privilégios locais para root. Acredita-se que esta vulnerabilidade em particular não seja explorável se não houver remotes OCI configurados (comum em sistemas não Fedora). A versão 1.18.1 corrige o problema.
Fontes
Write-up educacional e PoC em modo de teste para CVE-2026-92162, um path traversal no parâmetro arch do DeployAppstream do Flatpak que permite a criação de diretórios root.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.