L’avis signale que Shadow ne valide pas indépendamment les noms des entrées ZIP recopiées dans le fat JAR. Une dépendance malveillante peut donc introduire des chemins traversants dans l’archive produite, susceptibles d’exposer à un écrasement de fichiers chez des consommateurs qui extraient l’archive sans protection.
Source : GHSA-rr8v-fxxf-c986 — Gradle Shadow
Analyse technique
ShadowCopyAction reproduit les noms d’entrées ZIP sans assainissement indépendant; l’avis mentionne également une exposition directe avec certaines anciennes versions de Gradle.
Impact, versions et correctif
Détection / vérification
Vérifier si le plugin Gradle Shadow est utilisé et contrôler sa version ainsi que les versions de Gradle employées pour produire les fat JAR.
Action recommandée
Mettre à niveau le plugin Shadow vers 9.6.0 ou une version ultérieure; examiner et extraire avec précaution les fat JAR issus de versions affectées.
Sources
Priorisation DFS : P3 · 1 source(s).