CVE-2026-54684

Nome do Software Vulnerável e Versões Afetadas jadx versões 1.5.2 a 1.5.5

Description Um problema de path traversal existe onde um arquivo .xapk malicioso pode fazer com que a aplicação escreva conteúdos de entrada de arquivo controlados por um invasor fora do diretório temporário de descompactação do plugin XAPK pretendido. Isso ocorre porque o XApkLoader resolve cada nome de entrada diretamente usando tmpDir.resolve(fileName) após uma verificação de segurança ZIP baseada em CWD. Se a aplicação for iniciada a partir de um diretório que seja ancestral do diretório de configuração, essa escrita arbitrária pode ser usada para colocar um arquivo JAR em plugins/dropins. Subsequentemente, a próxima execução carrega o JAR via URLClassLoader e ServiceLoader, levando à execução de código de plugin controlado pelo invasor.

Recommendations Atualizar para a versão 1.5.6.