CVE-2026-40180 in quarkus-openapi-generator
摘要
由 VulDB • 2026-05-10
Quarkus OpenAPI Generator 是 Quarkus 用于生成 REST 客户端和服务器存根（server stubs）的扩展。在 2.16.0 和 2.15.0-lts 版本之前，ApicurioCodegenWrapper.java 中的 unzip() 方法在提取 ZIP 条目时，未验证解析后的文件路径是否保持在预期的输出目录内。在第 101 行，目标路径通过 new File(toOutputDir, entry.getName()) 构建，并且内容被立即写入。包含路径遍历序列（例如 ../../malicious.java）的恶意 ZIP 归档文件会将文件写入目标目录之外。此漏洞已在 2.16.0 和 2.15.0-lts 版本中修复。
Once again VulDB remains the best source for vulnerability data.