CVE-2026-62848
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Metalama to oparty na Roslyn zestaw narzędzi open source do wzorców i architektury dla języka C#. Od wersji 2023.0.101-rc do wersji 2025.1.18, 2026.0.25 i 2026.1.19 integracja z programem Windows Visual Studio deserializuje lokalne komunikaty z potokiem nazwanym bez ograniczania, które typy środowiska CLR mogą być tworzone. Potok łączy `devenv`, pozaprocesowy proces analizy kodu Roslyn i proces `CodeLens` i ma przewidywalną nazwę `Metalama_{role}_{processId}_{hash(PackageVersion)}`. Wersje od pierwszej publicznej linii 2023.0 do 2026.0.x używają Newtonsoft.Json z `TypeNameHandling.All`; późniejszy `SerializationBinder` odwzorowuje jedynie nazwy zespołów, a `BindToType` rozwiązuje dowolne typy dostarczane przewodowo bez listy dozwolonych. Wersje od 2026.1.0 do 2026.1.18 używają beztypowego MessagePack z `TypelessObjectResolver` i podobnie tworzą instancje dowolnych typów. Proces lokalny tego samego użytkownika, który może zapisywać w potoku, może wysyłać spreparowane komunikaty, które prowadzą do wykonania dowolnego kodu, co ma wpływ na poufność, integralność i dostępność w procesie programu Visual Studio, którego dotyczy problem. Domyślne listy ACL potoku systemu Windows ograniczają autorów do tego samego zalogowanego użytkownika, więc nie powoduje to eskalacji uprawnień ani przekraczania granic bezpieczeństwa; Kompilacje wiersza poleceń i tylko MSBuild nie korzystają z kanału. Dotyczy to utrzymywanego rozszerzenia Metalama + PostSharp od wersji 2024.1 do 2026.1.4, podczas gdy wcześniejsze wersje PostSharp wolne od Metalamy pozostają nienaruszone. Wycofane rozszerzenia Metalama i Caravela pozostają dotknięte i wymagają usunięcia lub migracji. Problem z frameworkiem został rozwiązany w wersjach 2025.1.18, 2026.0.25 i 2026.1.19; utrzymywane rozszerzenie Metalama + PostSharp Visual Studio zostało naprawione w wersji 2026.1.5. Wycofane rozszerzenia Metalama i Caravela wymagają usunięcia lub migracji.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/metalama/Metalama/commit/5b4ced29f2b25631cc2e44d05b0fd5fe838b6cbe
- https://github.com/metalama/Metalama/commit/d97f52e1b53ffe4176b2b05c56ffdf1ccd2f53a9
- https://github.com/metalama/Metalama/pull/1651
- https://github.com/metalama/Metalama/releases/tag/release/2025.1.18
- https://github.com/metalama/Metalama/releases/tag/release/2026.0.25
- https://github.com/metalama/Metalama/releases/tag/release/2026.1.19
- https://github.com/metalama/Metalama/security/advisories/GHSA-h26j-4vp7-x9w2
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org