Lector de Feeds

Publication date: 01 Oct 2026
Type: security
Affected Mageia releases : 10
CVE: CVE-2026-55380 , CVE-2026-54060 , CVE-2026-54059 , CVE-2026-55379 , CVE-2026-59205 , CVE-2026-59199 , CVE-2026-59197 , CVE-2026-59198 , CVE-2026-54058 , CVE-2026-59204 , CVE-2026-59203 Description
Prevent decompression bomb when parsing PDF WindowsViewer.get_command injection EPS image infinite loop JPEG2000 image memory usage McIdas out-of-bounds (OOB) read Out-of-bounds (OOB) read when saving 1 mode TGA images Out-of-bounds (OOB) write from large RankFilter sizes Out-of-bounds (OOB) write from Image.paste() Out-of-bounds (OOB) write in ImageCmsTransform Prevent FontFile decompression bomb Prevent GD decompression bomb References

• https://bugs.mageia.org/show_bug.cgi?id=35909
• https://github.com/python-pillow/Pillow/blob/main/docs/releasenotes/12.3.0.rst
• https://www.cve.org/CVERecord?id=CVE-2026-55380
• https://www.cve.org/CVERecord?id=CVE-2026-54060
• https://www.cve.org/CVERecord?id=CVE-2026-54059
• https://www.cve.org/CVERecord?id=CVE-2026-55379
• https://www.cve.org/CVERecord?id=CVE-2026-59205
• https://www.cve.org/CVERecord?id=CVE-2026-59199
• https://www.cve.org/CVERecord?id=CVE-2026-59197
• https://www.cve.org/CVERecord?id=CVE-2026-59198
• https://www.cve.org/CVERecord?id=CVE-2026-54058
• https://www.cve.org/CVERecord?id=CVE-2026-59204
• https://www.cve.org/CVERecord?id=CVE-2026-59203

SRPMS 10/core

• python-pillow-12.3.0-1.mga10

Publication date: 01 Oct 2026
Type: bugfix
Affected Mageia releases : 10
Description
glabels can't open previously-created glabels files. We have added a patch to fix the issue but the project is dead upstream and its developer is now focussing on glabels-qt. We are releasing glabels-qt as an alternative. Both versions fix the reported issue; it is your decision what tool to use. References

• https://bugs.mageia.org/show_bug.cgi?id=36053
• https://github.com/j-evins/glabels-qt

SRPMS 10/core

• glabels-3.4.1-12.1.mga10
• glabels-qt-3.99-0.2.2026.08.27git554c9f0.mga10

Publication date: 30 Sep 2026
Type: bugfix
Affected Mageia releases : 10
Description
Borgbackup uses the msgpack python module, and it includes a stopping check for exactly the version 1.2.1. It also recognises an option to disable this check. The updated package shunts this check, which seems overzealous. References

• https://bugs.mageia.org/show_bug.cgi?id=36364

SRPMS 10/core

• borgbackup-1.4.5-1.1.mga10

Publication date: 30 Sep 2026
Type: bugfix
Affected Mageia releases : 10
Description
Due to a missing requirement on zstd, engrampa can't open zst files. This update fixes the reported issue. References

• https://bugs.mageia.org/show_bug.cgi?id=36387

SRPMS 10/core

• engrampa-1.28.5-1.mga10

Publication date: 30 Sep 2026
Type: bugfix
Affected Mageia releases : 10
Description
LXDM is only installed by task-lxde. If you only install task-lxde-minimal, then you miss LXDM and you only have XDM which doesn't let you select your desktop environment. This update fixes the reported issue, moving the requirement on LXDM to the task-lxde-minimal package. References

• https://bugs.mageia.org/show_bug.cgi?id=36390

SRPMS 10/core

• task-lxde-10-2.1.mga10

Publication date: 30 Sep 2026
Type: bugfix
Affected Mageia releases : 10
Description
Previously setting a dark theme is not respected after a system reboot. This update fixes the issue by updating whatsie to the 6.1.1 version. References

• https://bugs.mageia.org/show_bug.cgi?id=35397
• https://github.com/keshavbhatt/whatsie/issues/299
• https://github.com/keshavbhatt/whatsie/releases/tag/v6.1.1
• https://github.com/keshavbhatt/whatsie/releases#release-v6.1.0
• https://github.com/keshavbhatt/whatsie/releases#release-v6.0.4
• https://github.com/keshavbhatt/whatsie/releases#release-v6.0.3
• https://github.com/keshavbhatt/whatsie/releases#release-v6.0.1
• https://github.com/keshavbhatt/whatsie/releases#release-v6.0.0

SRPMS 10/core

• whatsie-6.1.1-1.mga10

Publication date: 30 Sep 2026
Type: bugfix
Affected Mageia releases : 10 , 9
Description
urpm-ng is a reimplementation of the urpmi toolset, written in Python on top of libsolv. It installs, upgrades, removes and queries packages, and resolves dependencies automatically. This packages introduces urpm-ng in Mageia 9 and 10 to allow early testers do migrations from Mageia 9 to Mageia 10 with the package manager component without add external repositories. We do not recommend it yet for inexperienced users. References

• https://bugs.mageia.org/show_bug.cgi?id=36393

SRPMS 10/core

• urpm-ng-0.9.14-1.mga10

9/core

• urpm-ng-0.9.14-1.mga9

Publication date: 29 Sep 2026
Type: security
Affected Mageia releases : 10
CVE: CVE-2026-52791 , CVE-2026-77478 Description
fuse-overlayfs release-1.x preserves SUID/SGID bits after truncate/open(O_TRUNC). (CVE-2026-52791) Operations on hardlinked lower-layer files resolving to the wrong layer. (CVE-2026-77478) References

• https://bugs.mageia.org/show_bug.cgi?id=36164
• https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/OHDCW47LEOQXLVH2XJNC3A7VFVELJQ6U/
• https://lists.opensuse.org/archives/list/security-announce@lists.opensuse.org/message/YO4BSFYJPI6ZGUIXZ3AHYYYFEYEM4MFO/
• https://github.com/containers/fuse-overlayfs/releases/tag/v1.17
• https://github.com/containers/fuse-overlayfs/releases/tag/v1.18
• https://www.cve.org/CVERecord?id=CVE-2026-52791
• https://www.cve.org/CVERecord?id=CVE-2026-77478

SRPMS 10/core

• fuse-overlayfs-1.18-1.mga10

Publication date: 29 Sep 2026
Type: bugfix
Affected Mageia releases : 10 , 9
Description
The tool has changed developers and has been migrated to Qt6. The update fixes bugs in our current release including but not limited to a bug where, in some conditions, the GUI does not start. References

• https://bugs.mageia.org/show_bug.cgi?id=31980
• https://github.com/Boomaga/boomaga/releases#release-v3.9.2
• https://github.com/Boomaga/boomaga/releases#release-v3.9.1
• https://github.com/Boomaga/boomaga/releases#release-v3.9.0
• https://github.com/Boomaga/boomaga/releases#release-v3.8.1
• https://github.com/Boomaga/boomaga/releases#release-v3.7.0
• https://github.com/Boomaga/boomaga/releases#release-v3.6.0
• https://github.com/Boomaga/boomaga/releases#release-v3.5.0
• https://github.com/Boomaga/boomaga/issues/143

SRPMS 10/core

• boomaga-3.9.2-1.mga10

9/core

• boomaga-3.9.2-1.mga9

Publication date: 28 Sep 2026
Type: security
Affected Mageia releases : 10
CVE: CVE-2026-54411 Description
The updated packages fix a security vulnerability: Linux-PAM pam_userdb Observable Timing Discrepancy in Plaintext Password Comparison. (CVE-2026-54411) References

• https://bugs.mageia.org/show_bug.cgi?id=35881
• https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/S5OKVWSDQUM4BD3D4IPRSS2LJPLO2SRH/
• https://ubuntu.com/security/notices/USN-8601-1
• https://www.cve.org/CVERecord?id=CVE-2026-54411

SRPMS 10/core

• pam-1.7.1-2.1.mga10

Publication date: 28 Sep 2026
Type: security
Affected Mageia releases : 10
CVE: CVE-2026-13757 , CVE-2026-18938 Description
The updated packages fix security vulnerabilities: Stack exhaustion via unbounded recursion in rpc attribute parsing. (CVE-2026-13757) Integer overflow in rpc attribute-array length calculation can under-allocate nested attribute storage on 32 bit systems. (CVE-2026-18938) References

• https://bugs.mageia.org/show_bug.cgi?id=35906
• https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/Q6TQ5QWOGE7ZBPZGVINQXHGKAYSV4IMF/
• https://bugzilla.redhat.com/show_bug.cgi?id=2494556
• https://github.com/p11-glue/p11-kit/issues/767
• https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/AD5OWYEURQQ756QI27UWHAMDLD5B6WGZ/
• https://www.cve.org/CVERecord?id=CVE-2026-13757
• https://www.cve.org/CVERecord?id=CVE-2026-18938

SRPMS 10/core

• p11-kit-0.25.10-1.1.mga10

Publication date: 28 Sep 2026
Type: security
Affected Mageia releases : 10
CVE: CVE-2026-11979 , CVE-2026-86137 , CVE-2026-86138 , CVE-2026-86139 , CVE-2026-86140 , CVE-2026-86141 , CVE-2026-86142 , CVE-2026-86143 , CVE-2026-86144 Description
The updated packages fix several security issues: Stack-Based Buffer Overflow in libxml2. (CVE-2026-11979) In libxml2 before 2.15.4, xmlFAParsePosCharGroup has an out-of-bounds read, aka an out-of-bounds read in the NXT macro in xmlregexp. (CVE-2026-86137) In libxml2 before 2.15.4, xmlDictAddQString in dict.c has an integer overflow and resultant heap-based buffer overflow. (CVE-2026-86138) In libxml2 before 2.15.4, xmlURIEscapeStr in uri.c has an integer overflow. (CVE-2026-86139) In libxml2 before 2.15.4, xmlSnprintfElements in valid.c has a strcat stack-based buffer overflow. (CVE-2026-86140) xmlregexp in libxml2 before 2.15.4 has a NULL pointer dereference in xmlRegNewParserCtxt after a strdup failure, i.e., it does not calculate a string length after NULL checking. (CVE-2026-86141) In libxml2 before 2.15.4, there is a heap-based buffer overflow in xmlXPtrEvalXPtrPart because of xmlXPtrEval xpointer length saturation. (CVE-2026-86142) In xmlIO in libxml2 before 2.15.4, an inconsistency in xmlOutputWriteCallback and xmlBufUse causes negative lengths to reach write callbacks, aka a lack of a check for integer overflow before calling writecallback. This has security relevance for many types of uses of that length value within a callback. (CVE-2026-86143) In xinclude in libxml2 before 2.15.4, xmlXIncludeProcess and xmlXIncludeProcessTree do not propagate parseFlags. This has security relevance for, for example, the XML_PARSE_NONET flag, if (without it) a custom resource loader accesses the internet and triggers XML external entity injection, SSRF, or a denial of service (e.g., for an attacker-controlled internet resource that is intentionally slow). (CVE-2026-86144) References

• https://bugs.mageia.org/show_bug.cgi?id=35932
• https://lists.opensuse.org/archives/list/security-announce@lists.opensuse.org/message/ZWJ6JIPH33FSDSBTGTTXHQQKFJEXIKRU/
• https://gitlab.gnome.org/GNOME/libxml2/-/work_items/1124
• https://www.openwall.com/lists/oss-security/2026/09/04/5
• https://www.openwall.com/lists/oss-security/2026/09/05/4
• https://www.cve.org/CVERecord?id=CVE-2026-11979
• https://www.cve.org/CVERecord?id=CVE-2026-86137
• https://www.cve.org/CVERecord?id=CVE-2026-86138
• https://www.cve.org/CVERecord?id=CVE-2026-86139
• https://www.cve.org/CVERecord?id=CVE-2026-86140
• https://www.cve.org/CVERecord?id=CVE-2026-86141
• https://www.cve.org/CVERecord?id=CVE-2026-86142
• https://www.cve.org/CVERecord?id=CVE-2026-86143
• https://www.cve.org/CVERecord?id=CVE-2026-86144

SRPMS 10/core

• libxml2-2.15.1-3.2.mga10

Publication date: 28 Sep 2026
Type: security
Affected Mageia releases : 9
CVE: CVE-2026-91768 , CVE-2025-1218 , CVE-2026-91769 , CVE-2026-91767 , CVE-2026-6103 , CVE-2026-91765 , CVE-2025-14181 , CVE-2026-92842 , CVE-2026-91766 , CVE-2026-93682 Description
FILTER_SANITIZE_ENCODED does not encode 0xFF IPv6 ACL bypass in FastCGI listen.allowed_clients due to partial address comparison Various packet overreads in mysqlnd wire protocol TLS hostname verification falls back to CN after SAN mismatch Heap buffer overflow in php_openssl_matches_wildcard_name() on crafted server certificate wildcard CN Integer overflow in phar_tar_number() allowing TAR archive entry injection Unbounded recursion in server-side cleanup_xml_node() Integer overflow to buffer overflow in SOAP HTTP parsing) Out-of-bounds read in convert.* stream filters when line-break-chars contains NUL ross-origin credential leak in HTTP stream wrapper redirects Out-of-bounds read in the HTTP stream wrapper when following a redirect with an empty Location header References

• https://bugs.mageia.org/show_bug.cgi?id=36367
• https://www.php.net/ChangeLog-8.php#8.2.34
• https://www.cve.org/CVERecord?id=CVE-2026-91768
• https://www.cve.org/CVERecord?id=CVE-2025-1218
• https://www.cve.org/CVERecord?id=CVE-2026-91769
• https://www.cve.org/CVERecord?id=CVE-2026-91767
• https://www.cve.org/CVERecord?id=CVE-2026-6103
• https://www.cve.org/CVERecord?id=CVE-2026-91765
• https://www.cve.org/CVERecord?id=CVE-2025-14181
• https://www.cve.org/CVERecord?id=CVE-2026-92842
• https://www.cve.org/CVERecord?id=CVE-2026-91766
• https://www.cve.org/CVERecord?id=CVE-2026-93682

SRPMS 9/core

• php-8.2.34-1.mga9

Esta semana, hemos estado cocinando una poción con algunos ingredientes que nos aporta nuestro gran equipo de desarrolladores y empaquetadores. La gestión y empaquetado de las aplicaciones en Mageia frente a otros competidores hace muy fácil la gestión del sistema y el uso del software para nuestros usuarios. La implementación de las herramientas gráficas como el Centro de Control de Mageia forman una parte importante del sistema, pero lo que realmente se desconoce, es cómo se empaquetan algunas aplicaciones con respecto a otros sistemas, cómo se valora la adhesión de plugins y extras de software para las aplicaciones y cómo se gestionan las dependencias de todo durante el empaquetado. Empecemos!

Principios de concepto

Mageia ha heredado y perfeccionado la filosofía de empaquetado de Mandriva/Mandrake, nuestro objetivo está centrado en entregar las aplicaciones “listas para usar”, sin escatimar en funcionalidades opcionales o complementos. Otras distribuciones tienden a empaquetar las aplicaciones en su versión más ligera dejando aparte los plugins o complementos, esto obliga al usuario a buscar paquetes extra. En Mageia incluimos en muchos casos, plugins, integraciones y soporte multimedia directamente en la aplicación o bajo un único metapaquete.

Mageia destaca por una filosofía de empaquetado integrada: en lugar de fragmentar un programa en múltiples subpaquetes o aplicar recortes de licencias estrictos en el repositorio principal, los mantenedores de Mageia compilan el software con el mayor número de extensiones, filtros y soporte de hardware habilitados de serie, siempre que estos aporten un plus de funcionalidad a la aplicación y sea aprobados por el equipo de empaquetado.

Nuestro instalador

Actualmente en Mageia 10 disponemos de URPMI (User RPM Installer) que es nuestro gestor de paquetes por defecto, y la columna vertebral tanto gráfica como por terminal de instalación de aplicaciones, aunque también se incluye soporte nativo para DNF (ahora DNF5).

Urpmi tiene algunas ventajas frente a sus competidores como por ejemplo:

• Utiliza archivos de síntesis muy ligeros que contienen únicamente los datos indispensables para resolver dependencias, permitiendo consultar o refrescar repositorios de forma casi instantánea, incluso en conexiones lentas.
• No necesita almacenar localmente la descripción completa e información de cada paquete si no se requiera, ahorrando espacio en disco en los índices.
• Una de sus mayores ventajas no es solo la línea de comandos, sino que el gestor de paquetes gráfico “rpmdrake”, comparte el mismo motor. En otros gestores, las herramientas gráficas actúan como wrappers independientes que a veces entran en conflicto o no reflejan los mismos estados de paquetes huérfanos.
• Urpmi lleva décadas perfeccionando su algoritmo de detección de paquetes huérfanos que quedan tras desinstalar una aplicación, adaptándose a la estructura de paquetes RPM de Mageia, esto evita desinstalar librerías críticas del sistema por error durante la limpieza.

En Mageia también se habilitó DNF por algunas características modernas:

• Historial de transacciones.
• Módulos y AppStream. Mejor integración con tiendas de software modernas.
• Soporte upstream activo. Es mantenido directamente por el proyecto rpm.org.

Algunos comandos de urpmi en terminal:

• urpme: para eliminar paquetes.
• urpmq: para consultar paquetes.
• urpmf: para buscar qué paquete contiene determinados archivos o capacidades.
• urpmi: para instalación y actualización.

Un breve esquema

En Mageia, a través de nuestras secciones de repositorios, se empaquetan versiones de programas compiladas desde el primer día con soporte habilitado para por ejemplo, todos los módulos de red, protocolos de streaming y aceleración de vídeo por hardware, así como múltiples formatos de imagen propietarios o raros que otras distribuciones mueven a repositorios secundarios o directamente eliminan. Se prioriza la comodidad del usuario final sobre la “pureza” estricta del empaquetado, siempre y cuando un complemento haga más útil a la aplicación empaquetada, esto se debe en gran parte a los repositorios oficiales “Tainted” dedicados a software con patentes o restricciones legales en ciertos países, que permiten empaquetar aplicaciones en su versión completa sin restringir funciones.

En Mageia se mantienen, infraestructura de construcción, dependencias, políticas y controles para que los paquetes formen un sistema coherente.

Un ejemplo claro de esto es el paquete “gimp-plugin-astronomy” que permanece disponible para instalar hasta el fin de soporte de Mageia 9, aunque ha dejado de ser mantenido por sus creadores, en Mageia se ha mantenido para nuestros usuarios hasta el lanzamiento de Gimp 3.0 con el cual ya deja de ser compatible por el paso a Python 3.

Algunos otros ejemplos:

• Libreoffice. En otras distribuciones se empaqueta en componentes divididos y se omiten por ejemplo temas de iconos o integración con bases de datos o entornos de escritorio.
• Inkscape. En Mageia incluye un mapa de dependencias que activa por defecto todas las extensiones de renderizado matemático, procesamiento de mapas de bits e importación/exportación de archivos CAD sin tener que buscar otras librerías python.
• Audacity, Vlc, Kodi. A través de los distintos repositorios, se empaquetan con soporte habilitado para características que no aparecen en otras distribuciones.
• Pidgin. Ya hablamos de esta aplicación en otra poción. El empaquetado de Mageia es muy completo con muchos plugins y protocolos de mensajería que no se encuentran en otras distribuciones.

Visión de empaquetado en Mageia

Detrás del empaquetado, existen unas políticas definidas y procesos de revisión con los que intentamos que el software encaje en el sistema, en lugar de distribuir los paquetes como los publican los desarrolladores.

Algunas funciones destacadas de nuestro empaquetado:

• Python. Convenciones claras, pyproject, noarch, documentación y dependencias gestionadas por RPM:
• Java. Evitamos dependencias JAR duplicadas y mantenemos separación de componentes.
• Firefox. Paquete principal y traducciones independientes. Se instala el idioma requerido en base al idioma del sistema.
• Libreoffice. Instalación de toda la suite y el idioma requerido en base al idioma del sistema, en un solo metapaquete, o instalación por separado de aplicativos.
• Bibliotecas. Separación de runtime, desarrollo y dependencias.
• Aplicaciones KDE/Qt. Políticas específicas para nombres, bibliotecas y componentes.
• Licencias. Disponemos de separación de licencias mediante repositorios mantenidos “Core/Nonfree/Tainted/.
• Actualizaciones validadas por el equipo de QA antes de llegar a estable.

¿Qué aporta todo esto al usuario?

La mayoría de estas decisiones no aparecen en una captura de pantalla. No hacen que Plasma tenga mejores animaciones ni que Firefox abra más rápido por sí mismas.

Su valor aparece en situaciones más cotidianas:

• Instalar una aplicación y obtener automáticamente sus dependencias correctas.
• Eliminarla sin dejar archivos desperdigados.
• Actualizar una biblioteca sin tener varias copias incompatibles.
• Instalar únicamente los idiomas que necesitamos.
• Instalar documentación sólo cuando nos interesa.
• Disponer de paquetes de desarrollo separados.
• Mantener una base de software coherente.
• Recibir actualizaciones que han pasado por un proceso de validación.

Es decir, nuestros usuarios no tiene que pensar constantemente en el empaquetado. Si el trabajo está bien hecho, simplemente funciona.

Conclusiones

El principal mérito de nuestro empaquetado, está en como se intenta desde todos los equipos, encajar cada programa dentro del conjunto.

Las políticas de empaquetado, la separación de componentes, el tratamiento de las dependencias, el cuidado con las bibliotecas incluidas por terceros, la gestión de licencias y el proceso de control de calidad, forman un sistema integrado y coherente.

El trabajo de nuestros equipos de empaquetado, desarrollo y control de calidad, aunque no es visible para nuestros usuarios o el público general, es una de las partes más importantes de lo que hace que nuestra distribución sea realmente una distribución Linux estable y confiable. Existe una cantidad de trabajo de ingeniería dedicado a que todo encaje para llegar al resultado final.