NVD Vulnerability Detail
Search Exploit, PoC
CVE-2026-34078
Summary

Flatpak is a Linux application sandboxing and distribution framework. Prior to 1.16.4, the Flatpak portal accepts paths in the sandbox-expose options which can be app-controlled symlinks pointing at arbitrary paths. Flatpak run mounts the resolved host path in the sandbox. This gives apps access to all host files and can be used as a primitive to gain code execution in the host context. This vulnerability is fixed in 1.16.4.

Publication Date April 8, 2026, 7:16 a.m.
Registration Date April 15, 2026, 11:30 a.m.
Last Update April 25, 2026, 2:50 a.m.
CVSS3.1 : CRITICAL
スコア 10.0
Vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC) 低
攻撃に必要な特権レベル(PR) 不要
利用者の関与(UI) 不要
影響の想定範囲(S) 変更あり
機密性への影響(C) 高
完全性への影響(I) 高
可用性への影響(A) 高
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:flatpak:flatpak:*:*:*:*:*:*:*:* 1.16.3
Related information, measures and tools
Common Vulnerabilities List
JVN Vulnerability Information
FlatpakにおけるUNIX Symbolic Link のフォローに関する脆弱性
Title FlatpakにおけるUNIX Symbolic Link のフォローに関する脆弱性
Summary

FlatpakはLinuxのアプリケーションサンドボックスおよび配布フレームワークです。バージョン1.16.4以前のFlatpakポータルはsandbox-exposeオプションでパスを受け入れていましたが、これらのパスはアプリが制御するシンボリックリンクであり、任意のパスを指すことができました。Flatpak runは解決されたホストのパスをサンドボックス内にマウントします。これにより、アプリがすべてのホストファイルにアクセスできるようになり、ホストコンテキストでコードを実行する手段として悪用される可能性がありました。この脆弱性はバージョン1.16.4で修正されました。

Possible impacts 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 
Solution

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Publication Date April 7, 2026, midnight
Registration Date April 27, 2026, 10:50 a.m.
Last Update April 27, 2026, 10:50 a.m.
Affected System
Flatpak
Flatpak 1.16.3 およびそれ以前
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
1 [2026年04月27日]
  掲載		 April 27, 2026, 10:50 a.m.