PT-2026-138356
CVE-2026-75598
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 3.1
6.3
متوسطةالمقاييسAV:L/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Gradle Shadow plugin الإصدارات السابقة لـ 9.6.0
الوصف
يفشل المكون الإضافي في التحقق بشكل مستقل من أسماء إدخالات ZIP قبل كتابتها في أرشيف المخرجات. يمكن لتبعية خبيثة أن تحافظ على أسماء إدخالات التجاوز (traversal entry names) عندما لا يرفض مسار معالجة الأرشيف المعني ذلك. إذا تم استخراج الأرشيف الناتج دون حماية من تجاوز المسار، يمكن كتابة ملفات يتحكم فيها المهاجم خارج الوجهة المقصودة. يرجى ملاحظة أن تحديث Gradle وحده قد لا يمنع هذا السلوك في بعض تطبيقات Shadow التي تعالج أرشيفات التبعيات مباشرة.
التوصيات
تحديث Gradle Shadow plugin إلى الإصدار 9.6.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾