CVE-2026-86071 in Junrar
Resumen
por VulDB • 2026-09-16
Junrar es una biblioteca de archivos RAR de código abierto para Java. Antes de la versión 7.6.1, LocalFolderExtractor en src/main/java/com/github/junrar/LocalFolderExtractor.java puede crear directorios fuera del raíz de extracción previsto al procesar un elemento de archivo manipulado ad hoc. LocalFolderExtractor.createFile() valida únicamente la ruta canónica final del archivo, mientras que LocalFolderExtractor.makeFile() crea segmentos intermedios de la ruta con llamadas mkdir() sin verificar. Por lo tanto, un elemento puede hacer que la ruta final se resuelva dentro del destino, pero causar la creación de directorios intermedios fuera de él, lo que permite la contaminación del sistema de archivos o el squatting de archivo versus directorio, lo que puede provocar fallos en escrituras posteriores sensibles a la seguridad. El impacto demostrado es la creación de directorios, no una escritura incondicional y arbitraria de contenido de archivos. Este problema se soluciona en la versión 7.6.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.