CVE-2026-63436 Recorrido de directorios en la API fluida unpack de zt-zip
zt-zip, antes de 1.18.0, en la API fluida Zips.get(zip).unpack().destination(outputDir).process() de src/main/java/org/zeroturnaround/zip/Zips.java construye los archivos de salida directamente a partir de los nombres de entrada del ZIP sin aplicar la validación de límite de destino que usa ZipUtil.unpack(...). Una entrada manipulada con recorrido de directorios padre puede escribir fuera de outputDir tanto por la rama de copia normal como por la rama ZipEntryTransformer. Las aplicaciones que solo extraen…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 15
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
zeroturnaround zt-zip
< 1.18.0
Qué hacer
- Verificá si usás zt-zip y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.1 MEDIA
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L
- Vector de ataqueLocal
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadAlta
- DisponibilidadBaja
Descripción original
zt-zip is a Java library that provides convenience methods for ZIP archive manipulation. Prior to 1.18.0, the Zips.get(zip).unpack().destination(outputDir).process() fluent API in src/main/java/org/zeroturnaround/zip/Zips.java constructs output files directly from ZIP entry names without applying the destination-boundary validation used by ZipUtil.unpack(...). A crafted entry containing parent-directory traversal can therefore write outside outputDir through both the normal copy branch and the ZipEntryTransformer branch. Applications that extract untrusted archives only through ZipUtil.unpack(...) are unaffected because that API already calls checkDestinationFileForTraversal. This issue is fixed in version 1.18.0.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.