A zip-rs k\u00f6nyvt\u00e1rban, amely Rust nyelven k\u00e9sz\u00fclt \u00e9s heti k\u00f6r\u00fclbel\u00fcl 10 milli\u00f3 let\u00f6lt\u00e9ssel rendelkezik, egy s\u00e9r\u00fcl\u00e9kenys\u00e9get (CVE-2026-115905) fedeztek fel, amely lehet\u0151v\u00e9 teszi \u00e1rtalmatlannak t\u0171n\u0151 arch\u00edvumok l\u00e9trehoz\u00e1s\u00e1t, de a kib\u0151v\u00edt\u00e9skor m\u00e1s, eredetileg a list\u00e1ban nem szerepl\u0151 f\u00e1jlok ker\u00fclnek el\u0151. A f\u00e1jlok az arch\u00edvumban a «Central Directory» strukt\u00far\u00e1n k\u00edv\u00fcl helyezkedhetnek el, ez\u00e9rt a f\u00e1jllista megtekint\u00e9se sor\u00e1n egy tartalom l\u00e1that\u00f3, de a ZipStreamReader API-n kereszt\u00fcl t\u00f6rt\u00e9n\u0151 kib\u0151v\u00edt\u00e9skor m\u00e1s f\u00e1jlok ker\u00fclnek kinyer\u00e9sre. A probl\u00e9m\u00e1t 10-b\u0151l 10-es vesz\u00e9lyess\u00e9gi szinttel l\u00e1tt\u00e1k el. A s\u00e9r\u00fcl\u00e9kenys\u00e9get a zip-rs 9.0.5-\u00f6s verzi\u00f3j\u00e1ban jav\u00edtott\u00e1k.<\/p>\n
A sebezhet\u0151s\u00e9get elt\u00e9r\u0151 fejl\u00e9c haszn\u00e1lata okozza az arch\u00edvumhoz val\u00f3 k\u00f6zvetlen hozz\u00e1f\u00e9r\u00e9skor a ZipArchive API-n kereszt\u00fcl, valamint az adatok streamel\u00e9se sor\u00e1n a ZipStreamReader API haszn\u00e1lat\u00e1val. A ZipArchive kezel\u0151 a CDFH (Central Directory File Header) fejl\u00e9cre t\u00e1maszkodik, m\u00edg a ZipStreamReader a f\u00e1jlok kib\u0151v\u00edt\u00e9sekor priorit\u00e1sk\u00e9nt kezeli az LFH (Local File Header) fejl\u00e9cet a duplik\u00e1lt metaadatok szinkroniz\u00e1l\u00e1sa n\u00e9lk\u00fcl.<\/p>\n
A sebezhet\u0151s\u00e9g felhaszn\u00e1lhat\u00f3 a levelez\u0151sz\u0171r\u0151k, v\u00edruskeres\u0151k \u00e9s egy\u00e9b biztons\u00e1gi ellen\u0151rz\u0151 rendszerek megker\u00fcl\u00e9s\u00e9re. A t\u00e1mad\u00f3 a l\u00e1that\u00f3 r\u00e9szben elhelyezhet egy dokumentumot vagy egy k\u00e9pet az arch\u00edvumban, m\u00edg a rejtett r\u00e9szbe egy v\u00e9grehajthat\u00f3 f\u00e1jlt helyez el, amely rosszindulat\u00fa k\u00f3dot tartalmaz, \u00e9s amelyet a v\u00edruskeres\u0151 nem \u00e9szlel, de a felhaszn\u00e1l\u00f3 kib\u0151v\u00edt\u00e9sekor a lemezre ker\u00fcl. P\u00e9ldak\u00e9nt eml\u00edtik a mikroszolg\u00e1ltat\u00e1sok, a SaaS-platformok \u00e9s a kont\u00e9neriz\u00e1lt rendszerek elleni t\u00e1mad\u00e1sokat, ahol \u00e1rtalmatlan arch\u00edvumok, p\u00e9ld\u00e1ul st\u00edluscsomagok, sz\u00f6veges f\u00e1jlok vagy k\u00e9pek kib\u0151v\u00edt\u00e9sekor a munkahelyi projekteket tartalmaz\u00f3 k\u00f6nyvt\u00e1rakban fel\u00fcl\u00edrhatj\u00e1k a szkripteket \u00e9s v\u00e9grehajthat\u00f3 f\u00e1jlokat.<\/p>\n
Tov\u00e1bbiakban megeml\u00edthet\u0151 a librsvg k\u00f6nyvt\u00e1rban felfedezett s\u00e9r\u00fcl\u00e9kenys\u00e9g (CVE-2026-96889), amelyet a GNOME projekt fejleszt Rust nyelven. A k\u00f6nyvt\u00e1rat a GTK \u00e9s GNOME alkalmaz\u00e1sok SVG-k megjelen\u00edt\u00e9s\u00e9re haszn\u00e1lj\u00e1k, valamint a n\u00e9pszer\u0171 NPM-csomagban, a sharp-ban is, amely heti 80 milli\u00f3 let\u00f6lt\u00e9st gener\u00e1l, \u00e9s k\u00f6zel 11 ezer projekt f\u00fcgg\u0151s\u00e9ge. A s\u00e9r\u00fcl\u00e9kenys\u00e9g lehet\u0151v\u00e9 teszi, hogy k\u00f3dot futtassanak speci\u00e1lisan elk\u00e9sz\u00edtett SVG-k\u00e9pek feldolgoz\u00e1sa sor\u00e1n. A probl\u00e9ma a librsvg 2.56.6, 2.60.3, 2.62.4 \u00e9s 2.63.1 verzi\u00f3iban, valamint a sharp 0.35.5 NPM-csomagban lett jav\u00edtva. A s\u00e9r\u00fcl\u00e9kenys\u00e9get kihaszn\u00e1l\u00f3 projektek k\u00f6z\u00f6tt szerepel a PeerTube platform (a f\u00fcgg\u0151s\u00e9g friss\u00edtve lett a PeerTube 8.3.2 mai kiad\u00e1s\u00e1ban).<\/p>\n