Udhaifu (CVE-2026-115905) uligunduliwa katika maktaba ya zip-rs, umeandikwa katika Rust na kupakuliwa takriban mara milioni 10 kwa wiki. Udhaifu huu huruhusu uundaji wa kumbukumbu zinazoonekana kuwa hazina madhara, lakini zinapofunguliwa, faili zisizohusiana hutolewa. Faili zinaweza kuwekwa kwenye kumbukumbu nje ya muundo wa "Saraka Kuu", na kusababisha orodha ya faili kuonyesha maudhui sawa, lakini faili zisizohusiana hutolewa zinapofunguliwa kwa kutumia API ya ZipStreamReader. Tatizo limepewa kiwango cha ukali cha 10 kati ya 10. Udhaifu huo umerekebishwa katika zip-rs 9.0.5.
Udhaifu huu husababishwa na matumizi ya vichwa tofauti vya habari wakati wa ufikiaji wa kumbukumbu bila mpangilio kwa kutumia API ya ZipArchive na wakati wa kusambaza data kwa kutumia API ya ZipStreamReader. Kidhibiti cha ZipArchive hutegemea kichwa cha habari cha CDFH (Kichwa cha Faili cha Saraka ya Kati), huku ZipStreamReader ikiipa kipaumbele kichwa cha habari cha LFH (Kichwa cha Faili cha Mitaa) wakati wa kutoa faili, bila kusawazisha metadata rudufu.
Udhaifu unaweza kutumika kukwepa vichujio vya barua pepe, vitambazaji vya antivirus, na mifumo mingine ya usalama. Mshambuliaji anaweza kuweka hati au picha katika sehemu inayoonekana ya kumbukumbu na kuweka faili inayoweza kutekelezwa yenye msimbo hasidi katika sehemu iliyofichwa. Faili hii inayoweza kutekelezwa haitagunduliwa na programu ya antivirus lakini itahifadhiwa kwenye diski inapofunguliwa na mtumiaji. Mifano ni pamoja na mashambulizi dhidi ya huduma ndogo, mifumo ya SaaS, na mifumo ya kutenganisha vyombo, ambapo kufungua kumbukumbu zisizo na madhara (kama vile lahajedwali za mitindo, faili za maandishi, au picha) kwenye saraka zenye miradi ya kazi kunaweza kubatilisha hati na vitendakazi.
Udhaifu mwingine (CVE-2026-96889) unapatikana katika maktaba ya librsvg, iliyotengenezwa na mradi wa GNOME katika Rust. Maktaba hiyo inatumika katika programu za GTK na GNOME kwa ajili ya kutoa SVG, na pia imejumuishwa katika kifurushi maarufu cha NPM kali, ambacho hupakuliwa mara milioni 80 kwa wiki na hutumika kama utegemezi na karibu miradi 11. Udhaifu huu huruhusu utekelezaji wa msimbo maalum wakati wa kuchakata picha za SVG zilizoundwa maalum. Suala hili limetatuliwa katika matoleo ya librsvg 2.56.6, 2.60.3, 2.62.4, na 2.63.1, na pia katika kifurushi cha NPM kali 0.35.5. Miongoni mwa miradi iliyoathiriwa ilikuwa jukwaa la PeerTube (utegemezi ulisasishwa katika toleo la leo la PeerTube 8.3.2).
Ili kuchanganua alama ya XML inayotumika katika faili za SVG, librsvg hutumia vitendakazi kutoka kwa maktaba ya libxml2 C. Udhaifu hutokea kwa sababu XML X iliyojumuishwa inajumuisha katika faili za SVG, ambazo zinajumuisha vipengele vinavyorudiwa vyenye majina yanayorudiwa, husababisha ufikiaji wa kumbukumbu baada ya kutolewa. Kuanguka hutokea kwa sababu librsvg huweka huru kumbukumbu kwa vipengele vya XML ambavyo bado vinatumika na kichanganuzi cha libxml2.
Chanzo: opennet.ru
