N\u00eb bibliotek\u00ebn zip-rs, e shkruar n\u00eb Rust dhe me rreth 10 milion shkarkime n\u00eb jav\u00eb, \u00ebsht\u00eb zbuluar nj\u00eb dob\u00ebsi (CVE-2026-115905) q\u00eb lejon krijimin e arkivave q\u00eb duken t\u00eb pafajsh\u00ebm, por kur shp\u00ebrndahen nxirren skedar\u00eb t\u00eb tjer\u00eb, t\u00eb cil\u00ebt nuk ishin inicialisht t\u00eb shfaqur n\u00eb list\u00eb. Skedar\u00ebt mund t\u00eb vendosen n\u00eb arkiv jasht\u00eb struktur\u00ebs «Central Directory», p\u00ebr shkak t\u00eb s\u00eb cil\u00ebs, kur shikohet lista e skedareve, shfaqet nj\u00eb p\u00ebrmbajtje, por kur shp\u00ebrndahen p\u00ebrmes API-s\u00eb ZipStreamReader, nxirren skedar\u00eb t\u00eb tjer\u00eb. Problemi i \u00ebsht\u00eb caktuar nj\u00eb nivel rreziku 10 nga 10. Dob\u00ebsia \u00ebsht\u00eb rregulluar n\u00eb versionin zip-rs 9.0.5.<\/p>\n
Vulnerabiliteti shkaktohet nga p\u00ebrdorimi i kryeshembujve t\u00eb ndrysh\u00ebm gjat\u00eb aksesit t\u00eb rast\u00ebsish\u00ebm n\u00eb arkiv p\u00ebrmes API-s\u00eb ZipArchive dhe gjat\u00eb nxjerrjes s\u00eb t\u00eb dh\u00ebnave n\u00eb m\u00ebnyr\u00eb stream p\u00ebrmes API-s\u00eb ZipStreamReader. P\u00ebrdoruesi i ZipArchive mb\u00ebshtetet n\u00eb kryeshembullin CDFH (Central Directory File Header), nd\u00ebrsa ZipStreamReader gjat\u00eb nxjerrjes s\u00eb skedar\u00ebve e konsideron m\u00eb t\u00eb r\u00ebnd\u00ebsish\u00ebm kryeshembullin LFH (Local File Header) pa sinkronizimin e metadatat e p\u00ebrs\u00ebritura.<\/p>\n
Vulnerabiliteti mund t\u00eb p\u00ebrdoret p\u00ebr t\u00eb anashkaluar filtrat e post\u00ebs elektronike, skanerat antivirus dhe sistemet e tjera t\u00eb verifikimit t\u00eb siguris\u00eb. Nj\u00eb sulmues mund t\u00eb vendos\u00eb n\u00eb pjes\u00ebn e dukshme t\u00eb arkivit nj\u00eb dokument ose imazh, dhe n\u00eb at\u00eb t\u00eb fsheht\u00eb t\u00eb vendos\u00eb nj\u00eb skedar ekzekutiv me kod t\u00eb d\u00ebmsh\u00ebm, i cili nuk do t\u00eb v\u00ebrehet nga antivirus\u00ebt, por do t\u00eb ruhet n\u00eb disk gjat\u00eb nxjerrjes nga p\u00ebrdoruesi. Si shembuj p\u00ebrmenden sulmet ndaj mikrosh\u00ebrbimeve, platformave SaaS dhe sistemeve t\u00eb izolimit t\u00eb kontejner\u00ebve, ku gjat\u00eb nxjerrjes n\u00eb katalog\u00ebt me projekte pune t\u00eb pap\u00ebrshtatshme arkivash q\u00eb nuk paraqesin rrezik, p.sh., me grupe stilesh, skedar\u00eb tekstual\u00eb ose imazhe, mund t\u00eb z\u00ebvend\u00ebsohen skenar\u00eb dhe skedar\u00eb ekzekutiv\u00eb.<\/p>\n
P\u00ebrve\u00e7 k\u00ebsaj, mund t\u00eb theksohet nj\u00eb vulnerabilitet (CVE-2026-96889) n\u00eb bibliotek\u00ebn librsvg, e zhvilluar nga projekti GNOME n\u00eb gjuh\u00ebn Rust. Biblioteka p\u00ebrdoret n\u00eb GTK dhe aplikacionet GNOME p\u00ebr t\u00eb renderuar SVG dhe \u00ebsht\u00eb p\u00ebrfshir\u00eb gjithashtu n\u00eb paket\u00ebn popullore NPM sharp, e cila ka 80 milion shkarkime n\u00eb jav\u00eb dhe p\u00ebrdoret si var\u00ebsi nga pothuajse 11,000 projekte. Vulnerabiliteti lejon ekzekutimin e kodit t\u00eb personalizuar gjat\u00eb p\u00ebrpunimit t\u00eb imazheve SVG t\u00eb strukturuara posa\u00e7\u00ebrisht. Problemi \u00ebsht\u00eb zgjidhur n\u00eb versionet librsvg 2.56.6, 2.60.3, 2.62.4 dhe 2.63.1, si dhe n\u00eb paket\u00ebn NPM sharp 0.35.5. Nd\u00ebr projektet e prekura, platforma PeerTube n\u00eb k\u00ebt\u00eb version t\u00eb sot\u00ebm PeerTube 8.3.2 ka p\u00ebrdit\u00ebsuar var\u00ebsin\u00eb.<\/p>\n