CVE-2026-106451

Nome do Software Vulnerável e Versões Afetadas yawkat LZ4 Java versões 1.7.0 até 1.11.3

Descrição A função net.jpountz.util.Native.load() cria um arquivo temporário .lck exclusivo usando File.createTempFile, mas deriva o caminho da biblioteca nativa removendo o sufixo. Subsequentemente, o FileOutputStream abre esse caminho previsível sem criação exclusiva. Isso permite que um usuário local com acesso ao mesmo diretório temporário compartilhado crie ou substitua o arquivo da biblioteca antes que o System.load() seja chamado, potencialmente levando à execução de código nativo como a vítima. O sucesso depende das permissões do diretório compartilhado, proteções do host e de vencer uma condição de corrida (race condition). Configurações que utilizam uma biblioteca de sistema, um java.io.tmpdir privado ou implementações apenas em Java não são afetadas.

Recomendações Atualizar para a versão 1.11.4.