CVE-2026-87794

WysokieCVSS 8.4

Opublikowano: 09/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 09/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wersje bestzip 2.2.6 i 3.0.2 zawierają podatność na wstrzyknięcie argumentów w funkcji nativeZip, co umożliwia atakującym wstrzyknięcie dowolnych argumentów do backendu Info-ZIP. Atakujący może dostarczyć złośliwą ścieżkę docelową wraz ze spreparowanymi wpisami źródłowymi, aby wykonać dowolne polecenia z uprawnieniami procesu Node.js. Poprawiono w wersjach 2.2.7 i 3.0.3.

Ocena ryzyka

Atakujący może wykonać dowolne polecenia w kontekście procesu Node.js, co może prowadzić do przejęcia systemu lub naruszenia danych.

Rekomendacja

Zaleca się aktualizację bestzip do wersji 2.2.7 lub 3.0.3, które zawierają poprawkę.

Inne podatności w bestzip

CVE-2026-80427Wysokie
bestzip buduje listę argumentów dla systemowego narzędzia zip bez oddzielania opcji od operandów. Ścieżka archiwum docelowego i ścieżki źródłowe są przekazywane bez separatora --, więc każdy element źródłowy zaczynający się od myślnika jest interpretowany jako opcja. zip akceptuje -T do testowania archiwum i -TT do nazwania polecenia testującego, więc lista źródeł zawierająca te elementy i ciąg poleceń powoduje wykonanie polecenia przez powłokę po zapisaniu archiwum. Aplikacja przekazująca niezaufaną nazwę pliku do bestzip może wykonać dowolne polecenie.

Oryginalny opis (angielski, źródło NVD)

bestzip versions 2.2.6 and 3.0.2 contain an argument injection vulnerability in the nativeZip function that allows attackers to inject arbitrary arguments to the Info-ZIP backend. Attackers can supply a malicious destination path combined with crafted source entries to execute arbitrary commands with Node.js process privileges. Fixed in 2.2.7 and 3.0.3.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS