Në bibliotekën zip-rs, e shkruar në gjuhën Rust dhe që numëron rreth 10 milion shkarkime në javë, është zbuluar një vulnerabilitet (CVE-2026-115905), i cili lejon krijimin e arkivave që duken të padëmshme, por gjatë nxjerrjes nxjerrin skedarë të tjerë, të cilët fillimisht nuk shihen në listë. Skedarët mund të vendosen në arkiv jashtë strukturës "Central Directory", çka bën që gjatë shikimit të listës së skedarëve të shfaqet një përmbajtje, por gjatë nxjerrjes përmes API-së ZipStreamReader nxerrin skedarë të tjerë. Problemit i është caktuar niveli i rrezikut 10 nga 10. Vulnerabiliteti është rregulluar në versionin zip-rs 9.0.5.
Vulnerabiliteti shkaktohet nga përdorimi i kryeshembujve të ndryshëm gjatë aksesit të rastësishëm në arkiv përmes API-së ZipArchive dhe gjatë nxjerrjes së të dhënave në mënyrë stream përmes API-së ZipStreamReader. Përdoruesi i ZipArchive mbështetet në kryeshembullin CDFH (Central Directory File Header), ndërsa ZipStreamReader gjatë nxjerrjes së skedarëve e konsideron më të rëndësishëm kryeshembullin LFH (Local File Header) pa sinkronizimin e metadatat e përsëritura.
Vulnerabiliteti mund të përdoret për të anashkaluar filtrat e postës elektronike, skanerat antivirus dhe sistemet e tjera të verifikimit të sigurisë. Një sulmues mund të vendosë në pjesën e dukshme të arkivit një dokument ose imazh, dhe në atë të fshehtë të vendosë një skedar ekzekutiv me kod të dëmshëm, i cili nuk do të vërehet nga antivirusët, por do të ruhet në disk gjatë nxjerrjes nga përdoruesi. Si shembuj përmenden sulmet ndaj mikroshërbimeve, platformave SaaS dhe sistemeve të izolimit të kontejnerëve, ku gjatë nxjerrjes në katalogët me projekte pune të papërshtatshme arkivash që nuk paraqesin rrezik, p.sh., me grupe stilesh, skedarë tekstualë ose imazhe, mund të zëvendësohen skenarë dhe skedarë ekzekutivë.
Përveç kësaj, mund të theksohet një vulnerabilitet (CVE-2026-96889) në bibliotekën librsvg, e zhvilluar nga projekti GNOME në gjuhën Rust. Biblioteka përdoret në GTK dhe aplikacionet GNOME për të renderuar SVG dhe është përfshirë gjithashtu në paketën popullore NPM sharp, e cila ka 80 milion shkarkime në javë dhe përdoret si varësi nga pothuajse 11,000 projekte. Vulnerabiliteti lejon ekzekutimin e kodit të personalizuar gjatë përpunimit të imazheve SVG të strukturuara posaçërisht. Problemi është zgjidhur në versionet librsvg 2.56.6, 2.60.3, 2.62.4 dhe 2.63.1, si dhe në paketën NPM sharp 0.35.5. Ndër projektet e prekura, platforma PeerTube në këtë version të sotëm PeerTube 8.3.2 ka përditësuar varësinë.
Për përpunimin e markup-it XML, i përdorur në skedarët SVG, librsvg angazhon funksione nga biblioteka C libxml2. Vulnerabiliteti shkaktohet nga fakti se kur në SVG ka struktura të brendshme XML Xincludes, që përfshijnë elemente që dublikojnë emrat, ka një akses në memorien pas lirimit të saj. Dështimi ndodh sepse biblioteka librsvg lirohet memorien për elementet XML që ende po përdoren në analizuesin libxml2.
Burimi: opennet.ru
