CVE-2025-3445

Go dilindəki mholt/archiver kitabxanasında "Zip Slip" növlü Yol Keçidi (Path Traversal) zəifliyi aşkar edilmişdir. Bu zəiflik, yol keçidi simvolik keçidləri (symlinks) ehtiva edən xüsusi hazırlanmış ZIP faylından istifadə etməklə, istifadəçinin və ya kitabxanadan istifadə edən tətbiqin imtiyazları ilə faylların yaradılmasına və ya üzərində yazılmasına imkan verir. ZIP faylları ilə archiver.Unarchive funksionallığından bu şəkildə istifadə edildikdə: archiver.Unarchive(zipFile, outputDir), xüsusi hazırlanmış ZIP faylı elə çıxarıla bilər ki, o, həmin zəif funksionallığı icra edən tətbiqlə eyni imtiyazlara malik olaraq təsirə məruz qalan sistemə fayllar yaza bilsin. Nəticədə, həssas faylların üzərinə yazıla bilər ki, bu da bəzi hallarda imtiyazların yüksəldilməsinə, kodun icrasına və digər ciddi nəticələrə səbəb ola bilər. Qeyd etmək lazımdır ki, oxşar bir zəiflik TAR fayllarında da tapılmışdır (CVE-2024-0406). Düzəliş tətbiq olunsa da, rəsmi olaraq buraxılmamışdır və təsirə məruz qalan layihə artıq dəstəklənmir (deprecated). mholt/archiver layihəsinin davamçısı mholt/archives adlı yeni layihədir və onun ilkin versiyasında (v0.1.0) Unarchive() funksionallığı silinib.