Dans zt-zip, une traversée de répertoires dans un nom d’entrée ZIP peut permettre d’écrire hors du répertoire de destination via l’API fluide `Zips.get(…).unpack().destination(…).process()`. Le problème concerne les versions antérieures à 1.18.0 et est corrigé dans zt-zip 1.18.0.
Source : NVD — CVE-2026-63436
Analyse technique
La construction des chemins de sortie à partir des noms d’entrées ZIP ne vérifie pas leur confinement dans le répertoire de destination, y compris dans la branche utilisant un `ZipEntryTransformer`. L’API `ZipUtil.unpack(…)`, qui applique déjà une vérification contre la traversée, est indiquée comme non affectée.
Impact, versions et correctif
Détection / vérification
Vérifier si l’application utilise `Zips.get(…).unpack().destination(…).process()` pour extraire des archives non fiables.
Action recommandée
Mettre à jour zt-zip vers la version 1.18.0 ou ultérieure. En attendant, éviter d’utiliser cette API fluide pour extraire des archives non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).