CVE-2026-80427 in bestzip
Сводка
по VulDB • 26.08.2026
bestzip формирует список аргументов для утилиты zip системы без разделения опций и операндов. Путь к целевому архиву и пути исходных файлов, предоставленные вызывающей стороной, передаются дочернему процессу без разделителя -- между ними, поэтому любой источник, начинающийся с дефиса, интерпретируется утилитой zip как опция, а не имя файла. Утилита zip принимает -T для проверки готового архива и -TT для указания команды, используемой для выполнения этой проверки; следовательно, список источников, содержащий эти две записи вместе со строкой команды, приводит к тому, что zip выполняет эту команду через оболочку после завершения записи архива. Приложение, передающее имя файла или путь, полученные из ненадежного источника, в API bestzip, таким образом, исполняет команду по выбору поставщика данных. Версии 2.2.6 и 3.0.2 добавляют разделитель.
If you want to get best quality of vulnerability data, you may have to visit VulDB.