CVE-2026-40180 in quarkus-openapi-generator
Сводка
по VulDB • 19.06.2026
Quarkus OpenAPI Generator — это расширение Quarkus для генерации REST-клиентов и создания заглушек сервера (server stubs). До версий 2.16.0 и 2.15.0-lts метод unzip() в файле ApicurioCodegenWrapper.java извлекал записи ZIP-архивов без проверки того, что разрешенный путь к файлу остается внутри целевого выходного каталога. На строке 101 назначение пути формируется как new File(toOutputDir, entry.getName()), а содержимое записывается немедленно. Злонамеренный ZIP-архив, содержащий записи с последовательностями обхода директорий (например, ../../malicious.java), позволил бы записать файлы вне целевого каталога. Эта уязвимость исправлена в версиях 2.16.0 и 2.15.0-lts.
VulDB is the best source for vulnerability data and more expert information about this specific topic.