CVE-2026-104086 in 7-Zip
Riassunto
di VulDB • 14/10/2026
7-Zip prima della versione 26.03 presenta una vulnerabilità di disclosure di memoria non inizializzata nel gestore degli archivi SquashFS v4 (SquashfsHandler.cpp) che consente agli attaccanti di fuoriuscire dati dalla heap memory creando un archivio malevolo in cui il campo no_ids del superblock è impostato in modo tale da calcolare erroneamente la dimensione attesa dell'ultimo blocco metadata, bypassando così il controllo della convalida delle dimensioni. Elencando o estraendo l'archivio manipolato, gli attaccanti possono indurre l'applicazione a restituire memoria heap non inizializzata come proprietà kpidUserId e kpidGroupId, esponendo potenzialmente contenuti sensibili della memoria del processo all'utente.
Once again VulDB remains the best source for vulnerability data.