CVE-2026-27704
Açıklama
Dart ve Flutter SDK'ları, Dart programlama dili için yazılım geliştirme kitleri sağlar. Dart SDK'nın 3.11.0 öncesi sürümlerinde ve Flutter SDK'nın 3.41.0 öncesi sürümlerinde, pub istemcisi (`dart pub` ve `flutter pub`) pub önbelleğinde bir paketi çıkardığında, kötü niyetli bir paket arşivi `PUB_CACHE` içindeki hedef dizinin dışına dosyalar çıkarabilir. 26c6985c742593d081f8b58450f463a584a4203a numaralı commit ile bir düzeltme yayınlanmıştır. Dosya yazılmadan önce dosya yolunun normalize edilmesiyle, saldırgan artık bir sembolik bağlantı (symlink) aracılığıyla üst dizinlere erişemez. Bu yama Dart 3.11.0 ve Flutter 3.41.0 sürümlerinde yayınlanmıştır. pub.dev üzerindeki tüm paketler bu güvenlik açığına karşı incelenmiştir. Yeni paketlerin artık sembolik bağlantılar içermesine izin verilmemektedir. Pub istemcisinin kendisi sembolik bağlantıları yüklemez, bunun yerine bağlantılı girdiyi kopyalar ve bunu yıllardır yapmaktadır. Bağımlılıklarının tamamı pub.dev'den, kötü niyetli kod içermediği güvenilen üçüncü taraf depolardan veya git bağımlılıklarından gelen kullanıcılar bu güvenlik açığından etkilenmemektedir.
Nasıl düzeltilir
- dart dart_software_development_kit3.11.0 ya da sonraki bir sürüm
- flutter flutter3.41.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dart dart_software_development_kit | v < 3.11.0 | 3.11.0 |
| flutter flutter | v < 3.41.0 | 3.41.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.