CVE-2026-29050

melange istifadəçilərə deklarativ konveyerlər vasitəsilə apk paketləri qurmağa imkan verir. Versiya 0.32.0-dan başlayaraq və versiya 0.43.4-dək olan versiyalarda, melange konfiqurasiya faylına təsir edə bilən hücumçu — məsələn, pull-request əsaslı CI və ya build-as-a-service ssenariləri vasitəsilə — `pipeline[].uses` parametrini `../` ardıcıllıqları və ya mütləq yol ehtiva edən bir dəyərə təyin edə bilərdi. `pkg/build/compile.go` faylındakı `(*Compiled).compilePipeline` funksiyası `uses` dəyərini yoxlamadan birbaşa `filepath.Join(pipelineDir, uses + ".yaml")` funksiyasına ötürürdü, buna görə də müəyyən edilmiş yol hər bir `--pipeline-dir` kataloqundan kənara çıxa və melange prosesi üçün görünən istənilən YAML formatında oxuna bilən faylı oxuya bilərdi. Yüklənmiş fayl sonradan melange konveyeri kimi şərh edildiyi və onun `runs:` bloku qurma qumcuğunda (sandbox) `/bin/sh -c` vasitəsilə icra edildiyi üçün bu, həmçinin ağacdan kənar (out-of-tree) fayldan götürülmüş shell əmrlərinin qurma zamanı işlədilməsinə imkan verirdi və normalda daxili konveyer tərifini əhatə edən nəzərdən keçirmə sərhədini yan keçirdi. Problem melange v0.43.4 versiyasında 5829ca4 commit-i ilə düzəldilmişdir. Düzəliş mütləq yollar olan və ya `..` ehtiva edən `uses` dəyərlərini rədd edir və (`filepath.Clean`-dən sonra `filepath.Rel` vasitəsilə) müəyyən edilmiş hədəfin konveyer kataloqunun daxilində qaldığını təsdiqləyir. Müvəqqəti həll yolu kimi, `melange build` əmrini yalnız etibarlı mənbələrdən gələn konfiqurasiya faylları ilə işlədin. İstifadəçi tərəfindən təmin edilən melange konfiqurasiyalarını quran CI sistemlərində, qurmaları `pipeline[].uses` dəyərlərinin əllə nəzərdən keçirilməsi şərti ilə həyata keçirin və `..` və ya başlanğıcda `/` işarəsi olan hər hansı dəyəri rədd edin.