CVE-2026-80427
Publiée le 2026-08-26 · Dernière modification le 2026-09-24
Les applications Ruby utilisant la gem `bestzip` sont concernées si elles permettent aux utilisateurs de fournir des noms de fichiers ou des chemins transmis à la bibliothèque. Un attaquant peut fournir un nom de fichier spécialement conçu, commençant par un trait d'union, pour tromper le système et l'inciter à exécuter des commandes arbitraires sur votre serveur. Cette faille est facile à déclencher et nécessite uniquement un accès local aux entrées de l'application, sans nécessiter d'authentification ni d'interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
bestzip builds the argument list for the system zip utility without separating options from operands. The destination archive path and the caller-supplied source paths are passed to the child process with no -- delimiter between them, so any source entry beginning with a hyphen is interpreted by zip as an option rather than a file name. zip accepts -T to test the finished archive and -TT to name the command used to perform that test, so a source list containing those two entries and a command string causes zip to run that command through a shell once the archive has been written. An application that passes a file name or path it received from an untrusted source into the bestzip API therefore executes a command of the supplier's choosing. Versions 2.2.6 and 3.0.2 add the delimiter.