JVNDB-2026-004412

Lily-langのLilyにおける複数の脆弱性

FascinatedBox lily バージョン2.3までに脆弱性が確認されました。この問題の影響を受けるのは、ファイル src/lily_symtab.c の shorthash_for_name 関数です。この操作により、使用後の解放（use after free）が発生します。この攻撃を行うにはローカルアクセスが必要です。悪用コードは既に公開されており、使用される可能性があります。プロジェクトには問題が早期に問題報告を通じて通知されましたが、まだ対応が完了していません。

Lily-lang

• Lily 2.3 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• Issues : [Bug] Heap-use-after-free in shorthash_for_name caused by grow_source_buffer reallocating lexer buffer  Issue #385  FascinatedBox/lily

Vulnerability Database

• VulDB : CVE-2026-2660 FascinatedBox lily lily_symtab.c shorthash_for_name use after free (Issue 385)
• VulDB : Submit #753164: FascinatedBox lily main branch Use After Free

1. バッファエラー(CWE-119) [その他]
2. 解放済みメモリの使用(CWE-416) [その他]
3. 解放済みメモリの使用(CWE-416) [NVD評価]

1. CVE-2026-2660

1. National Vulnerability Database (NVD) : CVE-2026-2660
2. 関連文書 : 0122/i385/repro.lily at main  oneafter/0122  GitHub
3. 関連文書 : GitHub - FascinatedBox/lily: Interpreted language focused on expressiveness and type safety.

• [2026年02月24日]
    掲載