CVE-2026-115909

Nome do Software Vulnerável e Versões Afetadas zip versões 1.3.0 até 8.9.9

Descrição Na função ZipArchive::extract() em src/read/mod.rs, a biblioteca utiliza o método Vec::with capacity para alvos de links simbólicos com base na variável uncompressed size de cabeçalhos ZIP64. Como esse valor é controlado pelo atacante e processado antes da validação da entrada, um arquivo pequeno especialmente criado pode solicitar uma capacidade de memória impossível. Isso aciona um caminho de alocação infalível que aborta o processo, resultando em negação de serviço. Essa falha não pode ser mitigada usando catch unwind ou threads de trabalho.

Recomendações Atualizar para a versão 9.0.0.