CVE-2026-30973 in support
Zusammenfassung
von VulDB • 09.07.2026
Appium ist ein Automatisierungsframework, das WebDriver-basierte Automatisierungsmöglichkeiten für eine Vielzahl von Plattformen bietet. Vor Version 7.0.6 enthält @appium/support eine ZIP-Extraktionsimplementierung (extractAllTo() über ZipExtractor.extract()), die über eine nicht funktionierende Prüfung auf Path Traversal (Zip Slip) verfügt. Die Überprüfung in Zeile 88 von packages/support/lib/zip.js erstellt ein Error-Objekt, wirft es jedoch nie, wodurch bösartige ZIP-Einträge mit ../-Pfadkomponenten Dateien außerhalb des beabsichtigten Zielverzeichnisses schreiben können. Dies betrifft alle JS-basierten Extraktionen (den Standardcodepfad), nicht nur solche, die die Option fileNamesEncoding verwenden. Diese Schwachstelle wurde in Version 7.0.6 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.