PT-2026-122978
CVE-2026-116137
·
تاريخ النشر
2026-10-25
·
تاريخ التحديث
2026-10-25
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
adm-zip الإصدارات السابقة لـ 0.6.2
الوصف
يوجد تجاوز لصلاحية التحقق من الإدخالات المكررة حيث يمكن للمهاجمين التهرب من فحص
readEntries() باستخدام أسماء إدخالات مكافئة قانونياً، مثل './hello.txt' و 'hello.txt'. يسمح هذا بإنشاء أرشيفات ZIP حيث تقوم getEntry() أو readAsText() بالتحقق من محتوى حميد، بينما تقوم extractAllTo() بكتابة محتوى ضار في نفس المسار، مما يؤدي إلى تجاوز فحوصات السلامة.التوصيات
تحديث adm-zip إلى الإصدار 0.6.2 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾