CVE-2026-85396 in rubyzip
要約
〜によって VulDB • 2026年09月03日
rubyzip 3.4.0 より前のバージョンには、Zip::Entry#extract にパストラバーサルの脆弱性があります。これは、末尾の区切り文字なしでプレフィックス比較を使用して抽出先パスを適切に検証しないために発生します。攻撃者は `../upload_backup/owned.sh` のような名前でアーカイブエントリを作成し、意図された抽出ディレクトリの外側にあるが、宛先のプレフィックスを共有する親ディレクトリへファイルを書き込むことができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.