V knjižnici libinput so bila odkrita nekatera ranljivost:
CVE-2026-35093: Preseganje peskovnika v vtičnikih. Napaka v nalagalniku vtičnikov je omogočila nalaganje vnaprej sestavljenega bajtne kode, ki med izvajanjem ne prestane preverjanja in tako ni omejena v peskovniku. To omogoča napad, ki lahko zlonamernemu vtičniku omogoči neomejen dostop do sistema, odvisno od uporabniških privilegijev.
CVE-2026-35094: Uporaba po sprostitvi pomnilnika, kar vodi do uhajanja zaupnih informacij. Vtičnik, ki kliče funkcijo Lua __gc() pušča „viseci“ kazalec v imenu naprave, ki ga je mogoče zapisati v dnevnik. Glede na vrednost v pomnilniški celici lahko to privede do razkritja zaupnih informacij.
Ranljivosti vplivajo na vse distribucije s libinput verzije 1.30.0 in novejšimi. Vendar pa je uporaba Lua vtičnikov mogoča le, če jih nalaga kompozitor. Trenutno se to nanaša na GNOME 50's mutter, KWin (git) in Niri (git).
wlroots, sway in river niso ranljive.
Distribucije Fedora 43 in 44 uporabljajo možnost -Dautoload-plugins, kar pripelje do nalaganja vtičnikov ne glede na podporo kompozitorja. Arch, OpenSuSE, Ubuntu, Debian in NixOS te možnosti nimajo in/ali uporabljajo starejše različice libinput.
Vplivajoče različice: libinput 1.31.0, 1.30.[0-2]
Popravljene različice: libinput 1.31.1, 1.30.3
Izvor: linux.org.ru
