Une erreur de conversion des positions de correction dans compose-lint permet à un fichier Compose contenant certains séparateurs de ligne Unicode ou un retour chariot isolé de faire supprimer par `fix –apply` une ligne ultérieure non ciblée, potentiellement une configuration de sécurité. Les versions concernées sont 0.9.0 à avant 0.18.0 ; mettre à jour vers 0.18.0 et examiner les modifications proposées par l’outil avant application.
Source : NVD — CVE-2026-123370
Analyse technique
Le parseur reconnaît des séparateurs de ligne supplémentaires, mais la conversion des positions ne compte que les caractères de nouvelle ligne. Les éditions suivantes peuvent alors être décalées et supprimer une ligne non sélectionnée, même si le fichier reste valide et que la commande annonce une correction réussie.
Impact, versions et correctif
Action recommandée
Mettre à jour compose-lint vers 0.18.0 ; vérifier le diff avant d’appliquer des corrections.
Sources
Priorisation DFS : P4 · 1 source(s).