PT-2026-136340
CVE-2026-63499
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:L/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
zt-zip الإصدارات السابقة لـ 1.18.1
الوصف
تحتوي مكتبة Java هذه الخاصة بمعالجة أرشيفات ZIP على مشكلة حيث يمكن لوظيفة
unpack() في ZipUtil تطبيق أذونات إدخال ZIP المخزنة على دليل مخرجات الاستخراج. يحدث هذا عندما يشير اسم الإدخال، مثل / أو ./ ، إلى دليل المخرجات نفسه. نظرًا لأن فحوصات تجاوز المسار تسمح بالإدخالات ذاتية المرجع التي لا تخرج عن الوجهة، يمكن لمسار معالجة الأذونات استبدال أذونات دليل المخرجات التقييدية بأذونات يوفرها المهاجم. يؤثر هذا على التطبيقات التي تفك ضغط ملفات ZIP غير موثوقة، وتظهر الأنظمة التي تعمل بنظام POSIX هذه المشكلة بشكل مباشر، بينما توفر ZTFilePermissionsUtil.fetchDefaultStrategy معالجة أذونات احتياطية على الأنظمة المدعومة الأخرى.التوصيات
تحديث zt-zip إلى الإصدار 1.18.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾