CVE-2026-104025

Windows üzerinde PeaZip 11.2.0 ve önceki sürümlerde, arşiv nesne görüntüleyicisinin (peach.pas) execute_obj fonksiyonundaki bir Path Traversal (CWE-22) zafiyeti, kurbanı özel olarak hazırlanmış bir arşivin girdisini "Preview with... -> Associated application" eylemi (Shift+Ctrl+O) aracılığıyla önizlemeye ikna eden bir saldırganın, herhangi bir uyarı diyaloğu olmaksızın kurbanın sisteminde halihazırda bulunan rastgele bir programı çalıştırmasına olanak tanır. Fonksiyon, yalnızca outname (PeaZip'in kendi geçici dizini) kısmını checkfiledirname ile doğrular; ancak gerçekte çalıştırılan dize outname+tempstring birleşimidir; tempstring doğrudan arşiv girdi adından (StringGridList.Cells[12,...]) alınır ve hiçbir zaman doğrulanmaz. checkfiledirname (list_utils.pas), dosya adındaki kontrol ve ayrılmış karakterleri reddeder ancak ".." yol içerik kontrolü yapmaz, bu nedenle ../../../../Windows/System32/calc.exe adlı bir girdi çıkarma dizininden çıkar ve cp_open -> ShellExecuteW fonksiyonuna aktarılır; çıkarma arka ucu (7-Zip) traversal işlemini temizlerken açıcı bunu yapmaz. Ek olarak, SECEXTCONST tehlikeli uzantı onay istemi yalnızca çift tıklama işleyicisinde (grid_obj_open) uygulanmıştır ve bu önizleme rotasında mevcut değildir; böylece bir arşiv içindeki yürütülebilir dosya habersizce ShellExecuteW'ye ulaşır ve istemin tetiklendiği durumlarda, çalışacak olan çözümlenmiş yol yerine girdinin görünen adı belirtilir. Resmi PeaZip sürümlerine karşı hazırlanan bir kavram kanıtı (PoC) ile rastgele kod çalıştırma gösterilmiş ve hatanın tek bir format ayrıştırıcısında değil, PeaZip'in kendi yol yönetiminde olduğu iki farklı arşiv formatında (.zip ve .tar) doğrulanmıştır.