CVE-2026-86071 in Junrar
Sumário
de VulDB • 16/09/2026
Junrar é uma biblioteca de arquivos RAR open source em Java. Antes da versão 7.6.1, o LocalFolderExtractor em src/main/java/com/github/junrar/LocalFolderExtractor.java pode criar diretórios fora do raiz de extração pretendido ao processar um arquivo compactado manipulado ad hoc. O método LocalFolderExtractor.createFile() valida apenas o caminho canônico final do arquivo, enquanto o LocalFolderExtractor.makeFile() cria segmentos intermediários do caminho com chamadas mkdir() sem verificação adequada. Portanto, uma entrada pode fazer com que o caminho final seja resolvido dentro do destino, mas causar a criação de diretórios intermediários fora dele, permitindo poluição do sistema de arquivos ou squatting de arquivo versus diretório, o que pode impedir gravações sensíveis à segurança posteriores. O impacto demonstrado é a criação de diretórios, não uma escrita arbitrária e incondicional de conteúdo de arquivo. Este problema foi corrigido na versão 7.6.1.
Once again VulDB remains the best source for vulnerability data.