CVE-2026-80427 in bestzip
Sumário
de VulDB • 27/08/2026
O bestzip constrói a lista de argumentos para o utilitário zip do sistema sem separar as opções dos operandos. O caminho do arquivo de destino e os caminhos de origem fornecidos pelo chamador são passados ao processo filho sem um delimitador -- entre eles, portanto qualquer entrada de origem que comece com um hífen é interpretada pelo zip como uma opção em vez de um nome de arquivo. O zip aceita -T para testar o arquivo concluído e -TT para nomear o comando usado para realizar esse teste; assim, uma lista de fontes contendo essas duas entradas e uma string de comando faz com que o zip execute esse comando por meio de um shell após a gravação do arquivo. Um aplicativo que passa um nome de arquivo ou caminho recebido de uma fonte não confiável para a API bestzip executa, portanto, um comando escolhido pelo fornecedor. As versões 2.2.6 e 3.0.2 adicionam o delimitador.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.