CVE-2026-112049 Recorrido de directorios en la instalación de paquetes VPK de Vita3K

Afectados

• Vita3K

  hasta antes de 4187

Qué hacer

1. Verificá si usás Vita3K y en qué versión.
2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 5.5 MEDIA

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

• Vector de ataqueLocal
• Complejidad del ataqueBaja
• Privilegios requeridosNinguno
• Interacción del usuarioRequerida
• AlcanceSin cambio
• ConfidencialidadNinguna
• IntegridadAlta
• DisponibilidadNinguna

CVSS 4.0 · 6.7 MEDIA

CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

• Vector de ataqueLocal
• Complejidad del ataqueBaja
• Requisitos del ataqueNinguno
• Privilegios requeridosNinguno
• Interacción del usuarioActiva
• Confidencialidad (sistema vulnerable)Ninguna
• Integridad (sistema vulnerable)Alta
• Disponibilidad (sistema vulnerable)Ninguna
• Confidencialidad (sistemas posteriores)Ninguna
• Integridad (sistemas posteriores)Ninguna
• Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Vita3K before build 4187 contains a path traversal (zip slip) vulnerability in install_archive_content() that allows attackers to write files outside the install directory via crafted .vpk archives. Attackers can embed '..' segments or absolute paths in zip entry names to write attacker-controlled files anywhere writable by Vita3K, potentially enabling host code execution.

Referencias (4)

• github.com/Vita3K/Vita3K/issues/4254
• github.com/Vita3K/Vita3K/commit/55f88cd17a78ce8af7d753c7c4eb2f709f7d6dbc
• github.com/Vita3K/Vita3K/blob/f0273e4cd9b860ea77c44c73d9f5c5b1ed5fa8ab/vita3k/interface.c…
• www.vulncheck.com/advisories/vita3k-before-build-4187-path-traversal-via-vpk-package-inst…

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.