CVE-2026-61725

Nome do Software Vulnerável e Versões Afetadas sevenz-rust2 versões anteriores a 0.21.1

Descrição A extração de um arquivo 7z malicioso permite a gravação ou a substituição de arquivos fora do diretório de destino pretendido. Em src/util/decompress.rs, a função decompress impl calcula o destino usando dest.join(entry.name()) sem normalizar o nome da entrada UTF-16 ou verificar se o caminho permanece na raiz. Consequentemente, componentes de diretórios pai podem escapar da raiz de extração, e caminhos absolutos podem fazer com que o destino seja totalmente descartado. A função default entry extract fn então grava nesses caminhos usando File::create. Esse comportamento afeta as funções decompress, decompress file, decompress with password e decompress file with password. A substituição de arquivos críticos, como arquivos de configuração, inicialização, cron ou build, pode levar à execução de código ou persistência.

Recomendações Atualize o sevenz-rust2 para a versão 0.21.1.