CVE-2026-19693

WysokieCVSS 8.1

Opublikowano: 17/08/2026(UTC)Zaktualizowano: 09/09/2026(UTC)Przetłumaczono: 18/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

extract-zip do wersji 2.0.1 sprawdza tylko katalog nadrzędny każdego wpisu archiwum, a nie końcowy komponent ścieżki. Archiwum zawierające dwa wpisy o identycznych nazwach – dowiązanie symboliczne wskazujące poza katalog docelowy, a następnie zwykły plik – zapisuje przez to dowiązanie, co pozwala na zapis pliku poza katalogiem docelowym.

Ocena ryzyka

Atakujący może dostarczyć złośliwe archiwum, które zapisze pliki poza zamierzonym katalogiem, co może prowadzić do nadpisania ważnych plików lub uzyskania dostępu do wrażliwych danych.

Rekomendacja

Zaktualizuj extract-zip do najnowszej wersji, jeśli dostępna, lub zastosuj obejście polegające na ręcznym sprawdzaniu wpisów archiwum przed rozpakowaniem.

Inne podatności w extract-zip

CVE-2026-56876Wysokie
Biblioteka extract-zip nie weryfikuje celów dowiązań symbolicznych podczas rozpakowywania archiwów zip. Podczas przetwarzania złośliwego pliku zip zawierającego dowiązanie symboliczne ze ścieżką względną, taką jak '../../../../etc/passwd', extract-zip rozpakowuje dowiązanie bez walidacji, co pozwala mu wskazywać poza katalog docelowy. W zależności od sposobu użycia extract-zip, atakujący może odczytać lub zapisać dowolne pliki.

Oryginalny opis (angielski, źródło NVD)

extract-zip through 2.0.1 containment-checks only the parent directory of each archive entry and never the entry's own final path component, so an archive containing two entries with identical names - a symlink whose target is outside the destination, followed by a regular file - writes through the planted symlink and yields an arbitrary file write outside the destination directory.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS