CVE-2026-75598

Nome do Software Vulnerável e Versões Afetadas Gradle Shadow plugin versões anteriores a 9.6.0

Descrição O plugin não valida independentemente os nomes das entradas ZIP antes de gravá-los no arquivo de saída. Uma dependência maliciosa pode preservar nomes de entrada de travessia se o caminho de processamento de arquivo não os rejeitar. Se o arquivo resultante for extraído sem proteção contra travessia de caminho, arquivos controlados por um invasor podem ser gravados fora do destino pretendido. Observe que a atualização do Gradle sozinha pode não prevenir esse comportamento em algumas implementações que processam arquivos de dependência diretamente.

Recomendações Atualize o Gradle Shadow plugin para a versão 9.6.0.