פגיעות (CVE-2026-115905) התגלתה בספריית zip-rs, שנכתבה ב-Rust והורדה כ-10 מיליון פעמים בשבוע. פגיעות זו מאפשרת יצירת ארכיונים שלכאורה אינם מזיקים, אך בעת פריקתם, קבצים שאינם קשורים מחולצים. ניתן למקם קבצים בארכיון מחוץ למבנה "הספרייה המרכזית", מה שגורם לרשימת הקבצים להציג את אותו תוכן, אך קבצים שאינם קשורים מחולצים בעת פריקתם באמצעות ממשק ה-API של ZipStreamReader. לבעיה הוקצתה רמת חומרה של 10 מתוך 10. הפגיעות תוקנה ב-zip-rs 9.0.5.
הפגיעות נגרמת עקב שימוש בכותרות שונות במהלך גישה אקראית לארכיון באמצעות ממשק ה-API של ZipArchive ובמהלך חילוץ נתונים בזרימה באמצעות ממשק ה-API של ZipStreamReader. המטפל של ZipArchive מסתמך על כותרת ה-CDFH (Central Directory File Header), בעוד ש-ZipStreamReader נותן עדיפות לכותרת ה-LFH (Local File Header) בעת חילוץ קבצים, מבלי לסנכרן מטא-נתונים כפולים.
ניתן להשתמש בנקודת התורפה כדי לעקוף מסנני דואר, סורקי אנטי-וירוס ומערכות אבטחה אחרות. תוקף יכול למקם מסמך או תמונה בחלק הגלוי של ארכיון ולהציב קובץ הרצה המכיל קוד זדוני בחלק הנסתר. קובץ הרצה זה לא יזוהה על ידי תוכנת אנטי-וירוס אך יישמר בדיסק כאשר המשתמש יפרוק אותו. דוגמאות לכך כוללות התקפות על מיקרו-שירותים, פלטפורמות SaaS ומערכות בידוד מכולות, שבהן פריקת ארכיונים לא מזיקים (כגון גיליונות סגנונות, קבצי טקסט או תמונות) לתוך ספריות המכילות פרויקטים של עבודה עלולה לדרוס סקריפטים וקבצי הרצה.
פגיעות נוספת (CVE-2026-96889) נמצאת בספריית librsvg, שפותחה על ידי פרויקט GNOME ב-Rust. הספרייה משמשת ביישומי GTK ו-GNOME לרינדור SVG, והיא כלולה גם בחבילת sharp NPM הפופולרית, אשר מורדת 80 מיליון פעמים בשבוע ומשמשת כתלות על ידי כמעט 11 פרויקטים. הפגיעות מאפשרת ביצוע קוד מותאם אישית בעת עיבוד תמונות SVG בעלות מבנה מיוחד. הבעיה תוקנה בגרסאות 2.56.6, 2.60.3, 2.62.4 ו-2.63.1 של librsvg, וכן בחבילת sharp NPM 0.35.5. בין הפרויקטים שנפגעו הייתה פלטפורמת PeerTube (התלות עודכנה במהדורה של PeerTube 8.3.2 שפורסמה היום).
כדי לנתח סימון XML המשמש בקבצי SVG, librsvg משתמש בפונקציות מספריית libxml2 C. הפגיעות מתרחשת מכיוון ש-XML Xincludes מקוננים בקבצי SVG, הכוללים אלמנטים כפולים עם שמות חוזרים, גורמים לגישה לזיכרון לאחר שהוא משוחרר. הקריסה מתרחשת מכיוון ש-librsvg מפנה זיכרון עבור אלמנטי XML שעדיין נמצאים בשימוש על ידי מנתח libxml2.
מקור: OpenNet.ru
