CVE-2026-63436

Nome do Software Vulnerável e Versões Afetadas zt-zip versões anteriores a 1.18.0

Descrição A API fluente Zips.get(zip).unpack().destination(outputDir).process() no arquivo Zips.java constrói arquivos de saída diretamente a partir de nomes de entrada ZIP. Ela falha ao aplicar a validação de limite de destino, o que permite que uma entrada manipulada contendo traversal de diretório pai escreva arquivos fora do outputDir especificado, seja pelo ramo de cópia normal ou pelo ramo ZipEntryTransformer. Traversal de diretório pai é uma técnica usada para acessar e modificar arquivos fora do diretório pretendido usando caracteres especiais como ../ em caminhos de arquivo.

Recomendações Atualize para a versão 1.18.0. Como mitigação temporária, evite usar a API Zips.get(zip).unpack().destination(outputDir).process() ao extrair arquivos não confiáveis.