CVE-2026-30973 in support
Resumen
por MITRE • 2026-03-10
Appium es un framework de automatización que proporciona posibilidades de automatización basadas en WebDriver para una amplia gama de plataformas. Antes de la versión 7.0.6, @appium/support contiene una implementación de extracción ZIP (extractAllTo() a través de ZipExtractor.extract()) con una verificación de salto de ruta (Zip Slip) que no es funcional. La verificación en la línea 88 de packages/support/lib/zip.js crea un objeto Error pero nunca lo lanza, permitiendo que entradas ZIP maliciosas con componentes de ruta ../ escriban archivos fuera del directorio de destino previsto. Esto afecta a todas las extracciones basadas en JS (la ruta de código predeterminada), no solo a aquellas que utilizan la opción fileNamesEncoding. Esta vulnerabilidad se corrige en la versión 7.0.6.
Once again VulDB remains the best source for vulnerability data.