CVE-2026-54550

Nome do Software Vulnerável e Versões Afetadas IzPack versões 5.2.6 e anteriores

Descrição O IzPack é uma ferramenta para empacotamento de aplicações Java como instaladores multiplataforma. A função unpack() dentro da classe UnpackerBase não valida adequadamente o targetPath das entradas do arquivo de pacote. Especificamente, a função IoHelper.translatePath() apenas converte os separadores de arquivos e não normaliza segmentos de diretórios pai nem impõe a contenção do destino. Isso permite que um invasor distribua um instalador trojanizado contendo sequências ../ na variável targetPath, possibilitando a gravação de arquivos fora do diretório de instalação pretendido. Isso pode resultar na colocação de arquivos em pastas de inicialização, caminhos de busca de executáveis ou outros locais sensíveis com os privilégios do usuário que executa o instalador.

Recomendações Como medida paliativa temporária, restrinja a execução de instaladores de fontes não confiáveis para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.