CVE-2026-113382

arizu-id fast-tunnel 1.0.0 sürümünde bir güvenlik zafiyeti tespit edilmiştir. Bu sorundan Plugin Installer bileşeninin backend/api_plugins.php dosyasındaki ZipArchive::extractTo fonksiyonu etkilenmektedir. plugin_file argümanının bu şekilde manipüle edilmesi, kısıtlanmamış yüklemeye yol açmaktadır. Saldırı uzaktan gerçekleştirilebilir. Exploit halka açık olarak paylaşılmıştır ve kullanılabilir. Sürümün 1.0.1'e yükseltilmesi bu sorunu çözebilir. Yamanın adı 04573681420295f7b327c9da3b101aed2f3cf432 şeklindedir. Etkilenen bileşenin yükseltilmesi önerilir. Satıcıyla erkenden iletişime geçilmiş, satıcı çok profesyonel bir şekilde yanıt vermiş ve etkilenen ürünün düzeltilmiş bir sürümünü hızla yayınlamıştır.