Dans zt-zip, une entrée ZIP dont le nom se résout vers le répertoire de destination lui-même peut faire appliquer à ce répertoire des permissions fournies par l’archive. Le problème concerne les versions antérieures à 1.18.1 et est corrigé dans zt-zip 1.18.1.
Source : NVD — CVE-2026-63499
Analyse technique
Des noms d’entrée tels que `/` ou `./` peuvent désigner le répertoire de destination lui-même. Le traitement des permissions peut alors remplacer les permissions restrictives de ce répertoire par celles fournies dans l’entrée ; le problème est directement démontré sur POSIX.
Impact, versions et correctif
Détection / vérification
Vérifier si l’application utilise `ZipUtil.unpack(…)` pour extraire des archives non fiables, en particulier sur des systèmes POSIX.
Action recommandée
Mettre à jour zt-zip vers la version 1.18.1 ou ultérieure. Éviter d’extraire des archives non fiables avec les versions affectées.
Sources
Priorisation DFS : P4 · 1 source(s).