p PatchFirst

CVE-2026-92162

CVE-2026-92162 · Flatpak vulnerable to path traversal via unvalidated "arch" parameter in DeployAppstream

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Flatpak is a system for building, distributing, and running sandboxed desktop applications on Linux. Prior to version 1.18.1, on systems where at least one OCI remote is configured (most common on Fedora systems), a malicious local user in an active local session could use a crafted architecture name to trick the `flatpak-system-helper` process into creating a root-owned directory tree with contents determined by the OCI remote, plus a root-owned `lock` file and `icons` directory, outside the intended root directory. If this vulnerability is combined with other vulnerabilities also fixed in 1.18.1, the combination can lead to local root privilege escalation. This particular vulnerability is not believed to be exploitable if there are no OCI remotes configured (common on non-Fedora systems). Version 1.18.1 patches the issue.

CVSS 7.2 · Élevée · EPSS 0,2% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system

Produits et versions concernés

  • flatpak

    Versions du logiciel
    • < 1.18.1: Concernée

    Aucun correctif publié

  • flatpak Debian:12

    Versions du logiciel
    • 1.14.10-1
    • 1.14.10-1~deb12u1
    • 1.14.10-1~deb12u2
    • 1.14.4-1
    • 1.14.4-1+deb12u1
    • 1.14.4-1+deb12u1~bpo11+1
    • 1.14.4-2
    • 1.14.5-1
    • 1.14.6-1
    • 1.14.6-1~deb13u1
    • 1.14.8-1
    • 1.14.8-1~deb12u1
    • 1.15.0-1
    • 1.15.0-2
    • 1.15.1-1
    • 1.15.10-1
    • 1.15.12-1
    • 1.15.2-1
    • 1.15.3-1
    • 1.15.4-1
    • 1.15.6-1
    • 1.15.7-1
    • 1.15.8-1
    • 1.15.9-1
    • 1.15.91-1
    • 1.16.0-1
    • 1.16.0-2
    • 1.16.0-2~bpo12+1
    • 1.16.1-1
    • 1.16.1-1~bpo12+1
    • 1.16.1-2
    • 1.16.1-3
    • 1.16.2-1
    • 1.16.2-1~deb13u1
    • 1.16.3-1
    • 1.16.3-1~deb13u1
    • 1.16.4-1
    • 1.16.4-2
    • 1.16.5-1
    • 1.16.6-1
    • 1.16.6-1~deb13u1
    • 1.16.6-1~deb13u1~bpo12+1
    • 1.16.6-1~deb13u2
    • 1.16.6-1~deb13u3
    • 1.17.2-1
    • 1.17.3-1
    • 1.17.3-2
    • 1.17.6-1
    • 1.18.0-1
    • 1.18.1-1
    • 1.18.2-1
    • 1.18.3-1
    • 1.18.4-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • flatpak Debian:13

    Versions du logiciel
    • 1.16.1-1
    • 1.16.1-2
    • 1.16.1-3
    • 1.16.2-1
    • 1.16.2-1~deb13u1
    • 1.16.3-1
    • 1.16.3-1~deb13u1
    • 1.16.4-1
    • 1.16.4-2
    • 1.16.5-1
    • 1.16.6-1~deb13u1
    • 1.16.6-1~deb13u1~bpo12+1
    • 1.16.6-1~deb13u2
    Plages de versions concernées
    • ECOSYSTEM: < 1.16.6-1~deb13u3

    Mettez à jour vers 1.16.6-1~deb13u3

  • flatpak Debian:14

    Versions du logiciel
    • 1.16.1-1
    • 1.16.1-2
    • 1.16.1-3
    • 1.16.2-1
    • 1.16.2-1~deb13u1
    • 1.16.3-1
    • 1.16.3-1~deb13u1
    • 1.16.4-1
    • 1.16.4-2
    • 1.16.5-1
    • 1.16.6-1
    • 1.16.6-1~deb13u1
    • 1.16.6-1~deb13u1~bpo12+1
    • 1.16.6-1~deb13u2
    • 1.16.6-1~deb13u3
    • 1.17.2-1
    • 1.17.3-1
    • 1.17.3-2
    • 1.17.6-1
    • 1.18.0-1
    Plages de versions concernées
    • ECOSYSTEM: < 1.18.1-1

    Mettez à jour vers 1.18.1-1

  • flatpak Ubuntu:Pro:18.04:LTS

    Versions du logiciel
    • 0.8.7-5
    • 0.10.0-1
    • 0.10.0-2
    • 0.10.1-1
    • 0.10.2-1
    • 0.10.2.1-1
    • 0.10.2.1-2
    • 0.10.3-1
    • 0.11.1-0ubuntu1
    • 0.11.3-2
    • 0.11.3-3
    • 0.11.7-0ubuntu0.1
    • 1.0.1-0ubuntu0.1
    • 1.0.6-0ubuntu0.1
    • 1.0.7-0ubuntu0.18.04.1
    • 1.0.8-0ubuntu0.18.04.1
    • 1.0.9-0ubuntu0.1
    • 1.0.9-0ubuntu0.2
    • 1.0.9-0ubuntu0.3
    • 1.0.9-0ubuntu0.4
    • 1.0.9-0ubuntu0.4+esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • flatpak Ubuntu:Pro:20.04:LTS

    Versions du logiciel
    • 1.4.3-1
    • 1.6.0-1
    • 1.6.1-1
    • 1.6.2-1
    • 1.6.3-1
    • 1.6.5-0ubuntu0.1
    • 1.6.5-0ubuntu0.2
    • 1.6.5-0ubuntu0.3
    • 1.6.5-0ubuntu0.4
    • 1.6.5-0ubuntu0.5
    • 1.6.5-0ubuntu0.5+esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • flatpak Ubuntu:Pro:22.04:LTS

    Versions du logiciel
    • 1.10.2-3
    • 1.12.2-1
    • 1.12.2-2
    • 1.12.3-1
    • 1.12.4-1
    • 1.12.5-1
    • 1.12.6-1
    • 1.12.7-1
    • 1.12.7-1ubuntu0.1
    • 1.12.7-1ubuntu0.1+esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • flatpak Ubuntu:Pro:24.04:LTS

    Versions du logiciel
    • 1.14.4-2
    • 1.14.5-1
    • 1.14.5-1build1
    • 1.14.5-1build4
    • 1.14.5-1build5
    • 1.14.5-1build6
    • 1.14.6-1
    • 1.14.6-1ubuntu0.1
    • 1.14.6-1ubuntu0.1+esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • flatpak Ubuntu:26.04:LTS

    Versions du logiciel
    • 1.16.1-2ubuntu1
    • 1.16.1-3ubuntu1
    • 1.16.2-1
    • 1.16.3-1
    • 1.16.3-1build1
    • 1.16.4-1
    • 1.16.4-2
    • 1.16.6-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →