CVE-2026-41245

ŚrednieCVSS 5.9

Opublikowano: 20/04/2026(UTC)Zaktualizowano: 18/08/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

W bibliotece Junrar przed wersją 7.5.10 wykryto podatność na path traversal w klasie `LocalFolderExtractor`. Umożliwia ona atakującemu zapis dowolnych plików o kontrolowanej treści do katalogów sąsiednich podczas wypakowywania spreparowanego archiwum RAR.

Ocena ryzyka

Organizacja narażona jest na ryzyko nadpisania lub wstrzyknięcia złośliwych plików w systemie, co może prowadzić do eskalacji uprawnień, uruchomienia nieautoryzowanego kodu lub naruszenia integralności danych.

Rekomendacja

Należy niezwłocznie zaktualizować bibliotekę Junrar do wersji 7.5.10 lub nowszej, która zawiera poprawkę eliminującą podatność.

Inne podatności w Junrar

CVE-2026-86071Niskie
Junrar to otwarta biblioteka Java do obsługi archiwów RAR. W wersjach przed 7.6.1 klasa LocalFolderExtractor może tworzyć katalogi poza zamierzonym katalogiem docelowym podczas przetwarzania spreparowanego wpisu archiwum, ponieważ createFile() waliduje tylko końcową ścieżkę kanoniczną, a makeFile() tworzy pośrednie segmenty ścieżki bez sprawdzenia. Może to prowadzić do zanieczyszczenia systemu plików lub zajęcia nazw plików/katalogów.

Oryginalny opis (angielski, źródło NVD)

Junrar is an open source java RAR archive library. Prior to version 7.5.10, a path traversal vulnerability in `LocalFolderExtractor` allows an attacker to write arbitrary files with attacker-controlled content into sibling directories when a crafted RAR archive is extracted. Version 7.5.10 fixes the issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS