CVE-2026-22816

Gradle bir build avtomatlaşdırma alətidir və onun native-platform aləti native API-lər üçün Java binding-ləri təmin edir. 9.3.0 versiyasından əvvəlki versiyalarda asılılıqların həlli zamanı bəzi istisnalar kritik xətalar kimi qiymətləndirilmir və repozitoriyanın deaktiv edilməsinə səbəb olmurdu. Build prosesi bu istisnalardan biri ilə qarşılaşdıqda, Gradle siyahıdakı növbəti repozitoriyaya keçirdi və potensial olaraq asılılıqları fərqli repozitoriyadan həll edirdi. Əgər Gradle build-i həll olunmayan (unresolvable) host adından istifadə etdisə, bütün asılılıqlar digər repozitoriyadan həll oluna bildiyi müddətcə Gradle işləməyə davam edirdi. Həll olunmayan host adı, repozitoriyanın domen adı qeydiyyatının vaxtının bitməsi və ya real domen adının yanlış yazılması nəticəsində yarana bilərdi. Bu davranış hücumçuya build tərəfindən istifadə edilən host adı altında xidmət qeydiyyatdan keçirməyə və zərərli artefaktlar təqdim etməyə imkan verə bilərdi. Hücum üçün repozitoriyanın build konfiqurasiyasında digərlərindən əvvəl qeyd edilməsi tələb olunur. Gradle, bu xətalarla qarşılaşdıqda digər repozitoriyalarda axtarışı dayandırmaq üçün Gradle 9.3.0 versiyasında davranış dəyişikliyi etmişdir.