CVE-2026-80427 in bestzip
요약
\~에 의해 VulDB • 2026. 08. 26.
bestzip은 시스템 zip 유틸리티의 인수 목록을 생성할 때 옵션과 피연산자를 구분하지 않습니다. 대상 아카이브 경로와 호출자가 제공한 소스 경로는 그들 사이에 -- 구문 부호(delimiter) 없이 자식 프로세스에 전달되므로, 하이픈(-)으로 시작하는 모든 소스 항목은 zip에서 파일 이름이 아닌 옵션으로 해석됩니다. zip은 완성된 아카이브를 테스트하기 위해 -T를 사용하고, 해당 테스트를 수행하는 데 사용되는 명령어를 지정하기 위해 -TT를 허용하므로, 이러한 두 가지 항목과 명령어 문자열을 포함하는 소스 목록은 아카이브가 작성된 후 zip이 해당 명령어를 셸을 통해 실행하도록 만듭니다. 따라서 신뢰할 수 없는 출처에서 받은 파일 이름이나 경로를 bestzip API에 전달하는 애플리케이션은 공급자가 선택한 임의의 명령어를 실행하게 됩니다. 버전 2.2.6 및 3.0.2에서는 구문 부호가 추가되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.