تم اكتشاف العديد من الثغرات الأمنية في مكتبة libinput:
CVE-2026-35093: ثغرة أمنية في اجتياز بيئة الحماية في المكونات الإضافية. سمح خلل في مُحمِّل الإضافات بتحميل رمز بايت مُجمَّع مسبقًا، مما يتجاوز التحقق أثناء التشغيل، وبالتالي لا يخضع للحماية. يُنشئ هذا ثغرة أمنية قد تسمح لإضافة خبيثة بالوصول غير المقيد إلى النظام، وذلك بحسب صلاحيات المستخدم.
CVE-2026-35094: ثغرة أمنية من نوع "استخدام بعد التحرير" تؤدي إلى تسريب معلومات حساسة. تترك إضافة تستدعي دالة Lua __gc() "معلق" مؤشر في اسم الجهاز يمكن تسجيله. وبناءً على القيمة الموجودة في خلية الذاكرة، قد يؤدي ذلك إلى الكشف عن معلومات حساسة.
تؤثر هذه الثغرات الأمنية على جميع التوزيعات التي تستخدم مكتبة libinput الإصدار 1.30.0 والإصدارات الأحدث. مع ذلك، لا يمكن استخدام إضافات Lua إلا إذا قام Composer بتحميلها. حاليًا، ينطبق هذا على برنامج mutter الخاص بنظام GNOME 50., KWin (git) и نيري (غيتار).
لا تتعرض أنواع wlroots و sway و river للهجوم.
تستخدم توزيعات فيدورا 43 و44 خيار -Dautoload-plugins، الذي يقوم بتحميل الإضافات بغض النظر عن دعم Composer. أما توزيعات Arch وOpenSUSE وUbuntu وDebian وNixOS فتفتقر إلى هذا الخيار و/أو تستخدم إصدارات أقدم من libinput.
الإصدارات المتأثرة: libinput 1.31.0, 1.30.[0-2]
الإصدارات المُعدّلة: libinput 1.31.1, 1.30.3
المصدر: linux.org.ru
