What is CVE-2026-56389?
CVE-2026-56389 is a critical vulnerability in GNU Bison that allows arbitrary code execution during HTML report generation. The issue arises from improper handling of grammar-defined configuration, where a grammar file can override the executable used for the XML-to-HTML transformation via the `%define tool.xsltproc` directive, potentially launching a malicious program. This affects developers and build systems relying on Bison; it is advised to validate or restrict the `tool.xsltproc` variable to prevent exploitation.
Azərbaycanca: CVE-2026-56389, GNU Bison-da HTML hesabatının yaradılması zamanı ixtiyari proqramın icrasına imkan verən kritik bir boşluqdur. Qrammatika faylı vasitəsilə `%define tool.xsltproc` direktivi ilə XML‑dən HTML‑ə çevirmə üçün istifadə olunan alət dəyişdirilə bilər ki, bu da zərərli proqramın işə salınmasına səbəb olur. Bu boşluq xüsusilə tərtibatçıları və Bison ilə işləyən sistemləri təsirləyir; `tool.xsltproc` dəyişəninə etibar edilməməsi tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-94
FAQ2
What feature of Bison does CVE-2026-56389 affect?
It allows arbitrary code execution during HTML report generation.
Which directive in a grammar file can the attacker use to launch a malicious program?
The `%define tool.xsltproc` directive can override the executable used for the XML-to-HTML transformation.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.