PT-2026-136339
CVE-2026-63436
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
zt-zip الإصدارات السابقة لـ 1.18.0
الوصف
تقوم واجهة برمجة التطبيقات (API) الانسيابية
Zips.get(zip).unpack().destination(outputDir).process() في ملف Zips.java بإنشاء ملفات المخرجات مباشرة من أسماء إدخالات ZIP. وهي تفشل في تطبيق التحقق من حدود الوجهة، مما يسمح لإدخال مصمم خصيصاً يحتوي على تجاوز الدليل الأب (parent-directory traversal) بكتابة ملفات خارج outputDir المحدد، سواء من خلال فرع النسخ العادي أو فرع ZipEntryTransformer. تجاوز الدليل الأب هو تقنية تُستخدم للوصول إلى ملفات وتعديلها خارج الدليل المقصود باستخدام رموز خاصة مثل ../ في مسارات الملفات.التوصيات
التحديث إلى الإصدار 1.18.0.
كإجراء تخفيف مؤقت، تجنب استخدام واجهة برمجة التطبيقات
Zips.get(zip).unpack().destination(outputDir).process() عند استخراج الأرشيفات غير الموثوقة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾