CVE-2026-40180
Açıklama
Quarkus OpenAPI Generator, Rest Client ve sunucu stub'ları oluşturmak için kullanılan Quarkus uzantısıdır. 2.16.0 ve 2.15.0-lts sürümlerinden önce, ApicurioCodegenWrapper.java dosyasındaki unzip() metodu, çözümlenen dosya yolunun hedeflenen çıktı dizini içinde kaldığını doğrulamadan ZIP girişlerini dışarı aktarmaktadır. 101. satırda hedef, new File(toOutputDir, entry.getName()) şeklinde oluşturulmakta ve içerik hemen yazılmaktadır. Yol aşımı (path traversal) dizileri (örneğin, ../../malicious.java) içeren kötü niyetli bir ZIP arşivi, hedef dizinin dışına dosyalar yazabilir. Bu güvenlik açığı 2.16.0 ve 2.15.0-lts sürümlerinde giderilmiştir.
Nasıl düzeltilir
- quarkiverse quarkus_openapi_generator2.15.0 ya da sonraki bir sürüm
- io.quarkiverse.openapi.generator:quarkus-openapi-generator2.16.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| quarkiverse quarkus_openapi_generator | v < 2.15.0, 2.15.0 | 2.15.0 |
| io.quarkiverse.openapi.generator:quarkus-openapi-generatorMaven | v < 2.16.0 | 2.16.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.