Podatności libinput
3 znanych podatności CVE w libinput, przetłumaczonych i ocenionych.
- CVE-2026-50292Wysokie
W libinput przed wersjami 1.30.4 i 1.31.3, nieuciekający (unescaped) output phys z libinput-device-group może wstrzykiwać właściwości udev, prowadząc do dowolnego wykonania kodu z uprawnieniami roota.
- CVE-2026-35094Niskie
W bibliotece libinput wykryto błąd polegający na wiszącym wskaźniku, występujący gdy wywoływana jest funkcja czyszcząca garbage collector, pozostawiając wskaźnik, który może zostać wypisany do logów systemowych. Może to potencjalnie ujawnić wrażliwe dane, jeśli lokalizacja pamięci zostanie ponownie użyta. Wykorzystanie wymaga włączenia wtyczek Lua w libinput i ich załadowania przez kompozytor oraz możliwości umieszczenia pliku wtyczki w określonych katalogach systemowych.
- CVE-2026-35093Wysokie
W bibliotece libinput wykryto lukę umożliwiającą lokalnemu atakującemu ominięcie zabezpieczeń poprzez umieszczenie spreparowanego pliku bytecode Lua w katalogach konfiguracyjnych systemu lub użytkownika. Atakujący może uruchomić nieautoryzowany kod z uprawnieniami programu korzystającego z libinput, np. kompozytora graficznego. Może to prowadzić do monitorowania wprowadzanych danych z klawiatury i wysyłania ich na zewnątrz.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS