Ranjivost (CVE-2026-115905) otkrivena je u biblioteci zip-rs, napisanoj u Rustu i preuzetoj otprilike 10 miliona puta sedmično. Ova ranjivost omogućava kreiranje naizgled bezopasnih arhiva, ali kada se raspakuju, izdvajaju se nepovezane datoteke. Datoteke se mogu smjestiti u arhivu izvan strukture "Centralnog direktorija", što uzrokuje da lista datoteka prikazuje isti sadržaj, ali se nepovezane datoteke izdvajaju kada se raspakuju pomoću ZipStreamReader API-ja. Problemu je dodijeljen nivo ozbiljnosti 10 od 10. Ranjivost je ispravljena u verziji zip-rs 9.0.5.
Ranjivost je uzrokovana korištenjem različitih zaglavlja tokom nasumičnog pristupa arhivi pomoću ZipArchive API-ja i tokom ekstrakcije podataka putem streaminga pomoću ZipStreamReader API-ja. ZipArchive rukovatelj se oslanja na zaglavlje CDFH (Central Directory File Header), dok ZipStreamReader daje prioritet zaglavlju LFH (Local File Header) prilikom ekstrakcije datoteka, bez sinhronizacije dupliciranih metapodataka.
Ranjivost se može koristiti za zaobilaženje filtera pošte, antivirusnih skenera i drugih sigurnosnih sistema. Napadač može postaviti dokument ili sliku u vidljivi dio arhive, a izvršnu datoteku koja sadrži zlonamjerni kod u skriveni dio. Antivirusni softver neće otkriti ovu izvršnu datoteku, ali će je sačuvati na disku kada je korisnik raspakuje. Primjeri uključuju napade na mikroservise, SaaS platforme i sisteme za izolaciju kontejnera, gdje raspakivanje bezopasnih arhiva (kao što su stilski listovi, tekstualne datoteke ili slike) u direktorije koji sadrže radne projekte može prebrisati skripte i izvršne datoteke.
Još jedna ranjivost (CVE-2026-96889) pronađena je u biblioteci librsvg, koju je razvio GNOME projekat u Rustu. Biblioteka se koristi u GTK i GNOME aplikacijama za renderiranje SVG-a, a također je uključena u popularni sharp NPM paket, koji se preuzima 80 miliona puta sedmično i koristi se kao zavisnost od strane skoro 11 projekata. Ranjivost omogućava izvršavanje prilagođenog koda prilikom obrade posebno izrađenih SVG slika. Problem je ispravljen u verzijama librsvg 2.56.6, 2.60.3, 2.62.4 i 2.63.1, kao i u sharp NPM paketu 0.35.5. Među pogođenim projektima bila je i platforma PeerTube (zavisnost je ažurirana u današnjem izdanju PeerTube 8.3.2).
Za parsiranje XML oznaka korištenih u SVG datotekama, librsvg koristi funkcije iz C biblioteke libxml2. Ranjivost se javlja jer ugniježđeni XML Xincludes u SVG datotekama, koji uključuju duplicirane elemente s dupliciranim imenima, uzrokuju pristup memoriji nakon što je ona oslobođena. Do pada sistema dolazi jer librsvg oslobađa memoriju za XML elemente koje još uvijek koristi libxml2 parser.
izvor: opennet.ru
