Крейт 0.1.9 только для добавления-vec для Rust может инициировать выполнение вредоносного кода при компиляции проекта, использующего этот крейт, поскольку он имеет мошенническую зависимость, которая регистрируется на сервере управления и контроля, чтобы предложить выполнение произвольного кода.
Показать оригинальное описание (EN)
The append-only-vec crate 0.1.9 for Rust can trigger execution of malicious code when compiling a project that uses the crate, because it has a rogue dependency that registers with a command-and-control server to offer arbitrary code execution.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты
droundy:append-only-vec
Ссылки 5
https://blog.rust-lang.org/2026/08/20/supply-chain-attack-on-arrayref
NVD
https://github.com/rustsec/advisory-db/issues/3161
NVD
https://www.stepsecurity.io/blog/arrayref-rust-crate-supply-chain-attack
NVD
https://safedep.io/arrayref-proc-macro1-rust-build-time-malware/
NVD
https://rustsec.org/advisories/RUSTSEC-2026-0262.html
NVD