PT-2026-123431
CVE-2026-115908
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 3.1
7.4
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
zip الإصدارات من 7.2.0 إلى 8.x
الوصف
تستخدم الدالتان
ZipArchive::extract و ZipArchive::extract unwrapped root dir كل من safe prepare path و simplified components للتحقق من أهداف الروابط الرمزية باستخدام مقارنة البادئة المعجمية بدلاً من تحليل كل رابط وسيط. يمكن للمهاجم الذي يعرف وجهة الاستخراج المطلقة إنشاء سلسلة روابط يكون فيها أحد الروابط الوسيطة خارج نطاق الوجهة، مما يسمح بإنشاء ملفات يتحكم بها المهاجم أو استبدالها بصلاحيات عملية الاستخراج. في نظام ويندوز، قد تسمح بادئات محرك الأقراص و UNC (اتفاقية التسمية الموحدة) المهملة بالهروب عبر رابط واحد عندما تمتلك العملية امتياز SeCreateSymbolicLinkPrivilege ، كما هو الحال في حسابات المسؤول أو وضع المطور.التوصيات
التحديث إلى الإصدار 9.0.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾