CVE-2026-104024

Nome do Software Vulnerável e Versões Afetadas PeaZip versões 10.5.0 through 11.2.0

Description Existe um problema no visualizador de objetos de arquivo dentro da função grid obj open do arquivo peach.pas no Windows. O software utiliza uma lista pré-definida chamada SECEXTCONST para determinar se um diálogo de confirmação deve ser exibido antes de executar um arquivo. Como essa lista está incompleta e depende de comparações exatas de strings, ela não considera outros tipos de arquivos executáveis pelo shell e hosts de script processados pelo ShellExecuteW, como arquivos .url e .lnk. Um invasor pode explorar isso convencendo um usuário a abrir um arquivo compactado manipulado contendo um Atalho de Internet do Windows (.url) ou um atalho (.lnk) direcionado ao cmd.exe com argumentos arbitrários. Isso permite a execução de programas ou comandos com os privilégios do usuário que abriu o arquivo, sem qualquer prompt de confirmação. O shell também pode resolver caminhos UNC nomeados pelo invasor, permitindo potencialmente o direcionamento de payloads remotos.

Recommendations Atualize o PeaZip para uma versão posterior à 11.2.0.