CVE-2026-80427

WysokieCVSS 8.4

Opublikowano: 26/08/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 26/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

bestzip buduje listę argumentów dla systemowego narzędzia zip bez oddzielania opcji od operandów. Ścieżka archiwum docelowego i ścieżki źródłowe są przekazywane bez separatora --, więc każdy element źródłowy zaczynający się od myślnika jest interpretowany jako opcja. zip akceptuje -T do testowania archiwum i -TT do nazwania polecenia testującego, więc lista źródeł zawierająca te elementy i ciąg poleceń powoduje wykonanie polecenia przez powłokę po zapisaniu archiwum. Aplikacja przekazująca niezaufaną nazwę pliku do bestzip może wykonać dowolne polecenie.

Ocena ryzyka

Atakujący może wykonać dowolne polecenia w kontekście aplikacji, co prowadzi do pełnej kompromitacji systemu i danych.

Rekomendacja

Zaktualizuj bestzip do wersji 2.2.6 lub 3.0.2, które dodają separator --. Jeśli nie możesz zaktualizować, sanitizuj nazwy plików przed przekazaniem do bestzip.

Inne podatności w bestzip

CVE-2026-87794Wysokie
Wersje bestzip 2.2.6 i 3.0.2 zawierają podatność na wstrzyknięcie argumentów w funkcji nativeZip, co umożliwia atakującym wstrzyknięcie dowolnych argumentów do backendu Info-ZIP. Atakujący może dostarczyć złośliwą ścieżkę docelową wraz ze spreparowanymi wpisami źródłowymi, aby wykonać dowolne polecenia z uprawnieniami procesu Node.js. Poprawiono w wersjach 2.2.7 i 3.0.3.

Oryginalny opis (angielski, źródło NVD)

bestzip builds the argument list for the system zip utility without separating options from operands. The destination archive path and the caller-supplied source paths are passed to the child process with no -- delimiter between them, so any source entry beginning with a hyphen is interpreted by zip as an option rather than a file name. zip accepts -T to test the finished archive and -TT to name the command used to perform that test, so a source list containing those two entries and a command string causes zip to run that command through a shell once the archive has been written. An application that passes a file name or path it received from an untrusted source into the bestzip API therefore executes a command of the supplier's choosing. Versions 2.2.6 and 3.0.2 add the delimiter.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS