CVE-2026-85396 in rubyzip
Riassunto
di VulDB • 03/09/2026
Le versioni di rubyzip precedenti alla 3.4.0 contengono una vulnerabilità di path traversal in Zip::Entry#extract che non convalida correttamente i percorsi di estrazione utilizzando il confronto dei prefissi senza separatori finali. Gli attaccanti possono creare voci degli archivi con nomi come ../upload_backup/owned.sh per scrivere file al di fuori della directory di estrazione prevista, nelle cartelle sibling che condividono il prefisso di destinazione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.