CVE-2026-5223
Crates in third party registries can override the cached source of other crates
CVSS 3.1Medium
6.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.96.0, 0.97.0
Обновить Cargo/Rust до актуальной версии с исправлением обработки симлинков; реестр crates.io дефекту не подвержен.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Перезапись исходного кода кэшированных пакетов через симлинки в Cargo.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Менеджер пакетов Cargo небезопасно распаковывает символические ссылки из архивов сторонних реестров, позволяя одной зависимости подменять исходники другой из того же источника.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Подмена зависимостей, отравление локального кэша и компрометация процесса сборки целевого ПО.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Rust ProjectCargo
>= 1.0.0➔Fix: 1.96.0
——
>= 0➔Fix: 0.97.0
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (3)
- groups.google.comhttps://groups.google.com/g/rustlang-security-announcements/c/IB74S7Yksg8
- blog.rust-lang.orghttps://blog.rust-lang.org/2026/05/25/cve-2026-5223/
- github.comhttps://github.com/rust-lang/cargo/pull/17031
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-5223: Crates in third party registries can override the cached source of other crates. URL: https://cve.futuretools.ru/cve/CVE-2026-5223
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_5223,
title = {{CVE-2026-5223: Crates in third party registries can override the cached source of other crates}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-5223}},
note = {Оперативный инженерный анализ киберугроз}
}