CVE-2026-19693
WysokieCVSS 8.1Streszczenie
extract-zip do wersji 2.0.1 sprawdza tylko katalog nadrzędny każdego wpisu archiwum, a nie końcowy komponent ścieżki. Archiwum zawierające dwa wpisy o identycznych nazwach – dowiązanie symboliczne wskazujące poza katalog docelowy, a następnie zwykły plik – zapisuje przez to dowiązanie, co pozwala na zapis pliku poza katalogiem docelowym.
Ocena ryzyka
Atakujący może dostarczyć złośliwe archiwum, które zapisze pliki poza zamierzonym katalogiem, co może prowadzić do nadpisania ważnych plików lub uzyskania dostępu do wrażliwych danych.
Rekomendacja
Zaktualizuj extract-zip do najnowszej wersji, jeśli dostępna, lub zastosuj obejście polegające na ręcznym sprawdzaniu wpisów archiwum przed rozpakowaniem.
Oryginalny opis (angielski, źródło NVD)
extract-zip through 2.0.1 containment-checks only the parent directory of each archive entry and never the entry's own final path component, so an archive containing two entries with identical names - a symlink whose target is outside the destination, followed by a regular file - writes through the planted symlink and yields an arbitrary file write outside the destination directory.