GNOME 50.5, който екипът по изданията на GNOME пусна на 24 септември, отстранява CVE уязвимост във файловия слой gvfs, проблем с инжектиране на JavaScript в уеб браузъра Epiphany и грешка от тип use-after-free в библиотеката за изображения librsvg.
Изданието актуализира 22 модула. Потребителите, които сърфират с Epiphany, преглеждат SVG изображения чрез librsvg или осъществяват достъп до файлове чрез gvfs, остават уязвими, докато тяхната дистрибуция не представи новите пакети. „Препоръчва се всички операционни системи, използващи GNOME 50, да се актуализират“, отбелязва екипът.
Epiphany отстранява уязвимост от тип ZIP slip
В това издание Epiphany преминава от 50.4 към 50.6, събирайки две версии от август. Версия 50.6 с дата 13 август коригира уязвимост за инжектиране на JavaScript код чрез CSS селектор във функцията за автоматично попълване и проблем с обхождане на директории (path traversal) във файлове WebExtension XPI, обозначен като ZIPSLIP. При атака от тип ZIP slip специално изготвен архив записва файлове извън предназначената за него папка, така че зловреден пакет с разширение би могъл да постави файлове на друго място върху диска. Версия 50.5 добавя ескейпване на кавичките към входа на командния ред, преди Epiphany да го предаде на обвивката (shell). Двете версии коригират и сривове в мениджъра на пароли и при импортиране на невалидни отметки.
Един CVE, един ред
gvfs 1.60.3 съдържа единствения CVE идентификатор в бележките към изданието — CVE-2026-88924. Корекцията кара бекенда за администриране да задава собственост върху своя сокет, преди да го създаде. Дневникът с промени (changelog) съдържа само този ред без оценка за сериозност, което оставя администраторите сами да преценят риска въз основа на единичния запис.
Грешки с паметта в изображенията и екрана за вход
librsvg 2.62.4 коригира use-after-free уязвимост — грешка, при която дадена програма продължава да използва вече освободена памет. Дублиращи се XML същности в гнездови XInclude документи я предизвикваха. Изданието на librsvg актуализира и две Rust зависимости поради бюлетините за сигурност RUSTSEC-2026-0187 и RUSTSEC-2026-0204.
GDM 50.3, мениджърът за вход в системата, отстранява две use-after-free уязвимости, една от които би могла да срине цялата потребителска сесия по време на заключване или отключване на екрана. Точно така той коригира и регресия, при която предишна корекция за сигурност е нарушила автентификацията в systemd. GNOME Shell 50.5 вече отказва да отключи екрана след достигане на ограничението за време на екран, отменя диалоговите прозорци за парола при монтиране, когато екранът се заключи, и валидира сериализираните данни за изображения, преди да създаде pixbuf.
Още две библиотеки подобряват защитата си при работа с файлове. libgsf 1.14.59 защитава своя OLE2 модул за зареждане от безкрайна рекурсия и коригира четенето на zip архиви при повредени потоци, а файловият бекенд на libsecret получава файлово заключване, за да предотврати конфликти при едновременен запис (race conditions).