CVE-2026-22816

Gradle bir derleme otomasyon aracıdır ve native-platform aracı, yerel API'ler için Java bağlamaları sağlar. 9.3.0 öncesindeki sürümlerde bağımlılıklar çözümlenirken, bazı istisnalar kritik hatalar olarak değerlendirilmiyor ve bir deponun devre dışı kalmasına neden olmuyordu. Bir derleme bu istisnalardan biriyle karşılaştığında, Gradle listedeki bir sonraki depoya devam ediyor ve potansiyel olarak bağımlılıkları farklı bir depodan çözümleyebiliyordu. Eğer bir Gradle derlemesi çözümlenemeyen bir ana bilgisayar adı kullandıysa, tüm bağımlılıklar başka bir depodan çözümlenebildiği sürece Gradle çalışmaya devam ediyordu. Çözümlenemeyen bir ana bilgisayar adı, bir deponun alan adı kaydının süresinin dolmasına izin verilmesinden veya gerçek alan adının yanlış yazılmasından kaynaklanabilirdi. Bu davranış, bir saldırganın derleme tarafından kullanılan ana bilgisayar adı altında bir servis kaydetmesine ve kötü amaçlı artefaktlar sunmasına olanak tanıyabilirdi. Saldırı, deponun derleme yapılandırmasında diğerlerinden önce listelenmesini gerektirir. Gradle, bu hatalarla karşılaşıldığında diğer depoları aramayı durdurmak için Gradle 9.3.0 sürümünde davranışsal bir değişiklik getirmiştir.