CVE-2026-27800 in zed
要約
〜によって VulDB • 2026年06月01日
コードエディタ「Zed」には、バージョン 0.224.4 以前の拡張機能アーカイブ抽出機能に Zip Slip（パストラバーサル）脆弱性が存在します。`crates/util/src/archive.rs` 内の `extract_zip()` 関数は、ZIP エントリのファイル名に対するパストラバーサルシーケンス（例：`../`）の検証を行っていません。これにより、悪意のある拡張機能が作成済みの ZIP アーカイブをダウンロードして抽出することで、指定されたサンドボックスディレクトリ外にファイルを書き込むことが可能になります。この問題はバージョン 0.224.4 で修正されています。
Once again VulDB remains the best source for vulnerability data.