CVE-2026-54550 in IzPack
Zusammenfassung
von VulDB • 26.08.2026
IzPack ist ein weit verbreitetes Tool zum Verpacken von Anwendungen auf der Java-Plattform als plattformübergreifende Installationsprogramme. In den Versionen 5.2.6 und früher erhält UnpackerBase.unpack() in izpack-installer/src/main/java/com/izforge/izpack/installer/unpacker/UnpackerBase.java einen vom Angreifer kontrollierten PackFile-Zielpfad (targetPath), übergibt diesen an IoHelper.translatePath(), das lediglich Trennzeichen konvertiert, und erstellt ein File-Objekt ohne Normalisierung von übergeordneten Verzeichnissegmenten oder Durchsetzung der Zielverzeichnis-Einschränkung. Ein bösartiger Installationspaket-Eintrag mit ../-Sequenzen kann daher außerhalb des beabsichtigten Installationsverzeichnisses in Startordner, ausführbare Suchpfade (executable search paths) oder andere Orte schreiben, die mit den Berechtigungen des Opfers zugänglich sind, wenn das Opfer den Installer ausführt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.