Devolutions UniGetUI 2026.2.0およびそれ以前のバージョンにおいて、pingetバックエンドで誤って解決された名前または参照を使用することで、WinGetコミュニティカタログの貢献者がインストール済みアプリケーションを無関係で攻撃者が制御するカタログパッケージに関連付けることが可能でした。さらに、ユーザーが提案された更新を適用する際に、正規化された名前がインストール済みアプリケーション名内の部分文字列として含まれる細工されたカタログパッケージを通じて、攻撃者が制御するインストーラーを実行させる問題がありました。

ベンダ情報を参照して適切な対策を実施してください。