CVE-2025-61728

ŚrednieCVSS 6.5

Opublikowano: 28/01/2026(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Streszczenie

Pakiet archive/zip używa super-liniowego algorytmu indeksowania nazw plików, wywoływanego przy pierwszym otwarciu pliku w archiwum. Przetwarzanie złośliwie spreparowanego archiwum ZIP może prowadzić do ataku typu denial of service.

Ocena ryzyka

Aplikacja lub usługa przetwarzająca niezaufane archiwa ZIP może zostać przeciążona, co prowadzi do niedostępności usługi. Ryzyko dotyczy systemów przyjmujących archiwa od użytkowników.

Rekomendacja

Zaktualizuj środowisko Go do wersji zawierającej poprawkę tego problemu. Ograniczaj rozmiar i złożoność przetwarzanych archiwów ZIP oraz waliduj ich zawartość.

Inne podatności w Go archive/zip

CVE-2024-24789Średnie
Podatność w pakiecie archive/zip języka Go powoduje, że obsługa niektórych nieprawidłowych plików zip różni się od zachowania większości implementacji. Ta rozbieżność może być wykorzystana do stworzenia pliku zip, którego zawartość zmienia się w zależności od implementacji odczytującej plik. Pakiet archive/zip odrzuca teraz takie pliki.

Oryginalny opis (angielski, źródło NVD)

archive/zip uses a super-linear file name indexing algorithm that is invoked the first time a file in an archive is opened. This can lead to a denial of service when consuming a maliciously constructed ZIP archive.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS