CVE-2026-56390

GNU Bison, dil bilgisiyle tanımlanan çıktı yollarını uygunsuz şekilde işlemektedir. %output ve %header gibi dil bilgisi direktifleri, herhangi bir kısıtlama olmaksızın kabul edilen ve çağırıcı tarafından sağlanan çıktı seçeneklerini geçersiz kılan dosya yollarının belirtilmesine izin verir. Saldırgan tarafından sağlanan dil bilgisi işlenirken bu davranış, oluşturulan dosyaların dosya sistemindeki rastgele yazılabilir konumlara yönlendirilmesine ve potansiyel olarak Bison sürecinin erişebildiği mevcut dosyaların üzerine yazılmasına olanak tanır. Bu projenin yöneticileri söz konusu güvenlik açığı hakkında bilgilendirilmiş ve sorun 8d101c19d4d9aaedf83a448c925513742d4efcf0 commit'i ile düzeltilmiştir. Ancak, etkilenen versiyon aralığı belirtilmemiştir. Versiyon 3.8.2 test edilmiş ve savunmasız olduğu onaylanmıştır; diğer versiyonlar test edilmemiştir ancak onlar da savunmasız olabilir.