CVE-2026-115905
Publiée le 2026-10-26 · Dernière modification le 2026-10-26
La bibliothèque Rust `zip`, utilisée pour la lecture et l'écriture de fichiers ZIP, est affectée dans les versions allant jusqu'à la 9.0.4. La faille provient d'une gestion incohérente des métadonnées des fichiers ; la bibliothèque utilise un ensemble de noms de fichiers pour l'inspection générale et un ensemble différent lors de l'extraction réelle. Une archive spécialement conçue peut ainsi masquer des chemins de fichiers malveillants aux scanners de sécurité tout en les écrivant sur le disque.
Un attaquant peut utiliser cette vulnérabilité pour écraser des fichiers système critiques ou des données de configuration, entraînant une perte complète de confidentialité, d'intégrité et de disponibilité. Cela est particulièrement dangereux car cela ne nécessite ni authentification, ni interaction de l'utilisateur, et peut être déclenché à distance via le réseau. L'exploitation est simple à exécuter si un service utilise la bibliothèque affectée pour traiter des archives téléchargées par des utilisateurs.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
zip is a zip library for Rust that supports reading and writing simple ZIP files. Through 9.0.4, ZipArchive treats Central Directory File Header filenames as authoritative while ZipStreamReader extracts using Local File Header filenames without reconciling the duplicate metadata in src/read/stream.rs. A crafted archive can therefore appear benign to a component that inspects the central directory but cause a streaming extractor to write a different attacker-selected path and content, potentially overwriting files used by a downstream service. This issue is fixed in version 9.0.5.