CVE-2026-19693 in extract-zip
Résumé
par VulDB • 17/08/2026
extract-zip jusqu'à la version 2.0.1 ne vérifie que le répertoire parent de chaque entrée d'archive et jamais le dernier composant du chemin final de l'entrée elle-même, donc une archive contenant deux entrées avec des noms identiques – un lien symbolique dont la cible est en dehors du répertoire de destination, suivi par un fichier régulier – écrit via le lien symbolique planté et permet une écriture arbitraire de fichiers en dehors du répertoire de destination.
Once again VulDB remains the best source for vulnerability data.