Tóm tắt nhanh
- CVE-2026-85396 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng rubyzip.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.56%, cao hơn 46.9% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 3.4.0 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| rubyzip RubyGems | < 3.4.0
| 3.4.0
|
Mô tả
rubyzip versions before 3.4.0 contain a path traversal vulnerability in Zip::Entry#extract that fails to properly validate extraction paths using prefix comparison without trailing separators. Attackers can craft archive entries with names like ../upload_backup/owned.sh to write files outside the intended extraction directory into sibling paths sharing the destination prefix.
Mô tả của NVD
rubyzip versions before 3.4.0 contain a path traversal vulnerability in Zip::Entry#extract that fails to properly validate extraction paths using prefix comparison without trailing separators. Attackers can craft archive entries with names like ../upload_backup/owned.sh to write files outside the intended extraction directory into sibling paths sharing the destination prefix.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí