CVE-2026-45384

ŚrednieCVSS 6.1

Opublikowano: 10/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Biblioteka bit7z przed wersją 4.0.12 zawiera podatność na nadpisywanie dowolnych plików poprzez atak z użyciem dowiązania symbolicznego (symlink) na przewidywalne pliki tymczasowe podczas aktualizacji archiwum.

Ocena ryzyka

Atakujący może nadpisać dowolne pliki w systemie, wykorzystując przewidywalne nazwy plików tymczasowych, co może prowadzić do eskalacji uprawnień lub uszkodzenia danych.

Rekomendacja

Należy zaktualizować bibliotekę bit7z do wersji 4.0.12, która zawiera poprawkę eliminującą podatność.

Inne podatności w bit7z

CVE-2026-45380Niskie
Podatność w bibliotece bit7z przed wersją 4.0.12 powoduje błąd off-by-one w funkcji SafeOutPathBuilder::restoreSymlink(), umożliwiający stworzenie archiwum .7z, które po rozpakowaniu na systemach innych niż Windows tworzy dowiązanie symboliczne poza docelowy katalog, pozwalając na zapis plików poza nim.

Oryginalny opis (angielski, źródło NVD)

bit7z is a cross-platform C++ static library that allows the compression/extraction of archive files. Prior to version 4.0.12, there is an arbitrary file overwrite vulnerability via symlink attack on predictable temp files during archive update. This issue has been patched in version 4.0.12.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS