CVE-2026-54684
Açıklama
jadx bir Dex'ten Java'ya decompiler'dır. 1.5.2 ile 1.5.5 sürümleri arasında, kötü niyetli bir .xapk dosyası, XApkLoader'ın CWD tabanlı bir ZIP güvenlik kontrolünden sonra her giriş adını doğrudan tmpDir.resolve(fileName) ile çözümlemesi nedeniyle, jadx'in saldırgan tarafından kontrol edilen arşiv girişi içeriklerini hedeflenen XAPK eklenti geçici açma dizininin dışına yazmasına neden olabilir. jadx, yapılandırma dizininin üst dizini olan bir dizinden başlatıldığında, bu rastgele yazma işlemi plugins/dropins dizinine bir JAR yerleştirebilir ve bir sonraki jadx çalıştırılmasıyla söz konusu JAR, URLClassLoader ve ServiceLoader ile yüklenerek saldırgan tarafından kontrol edilen eklenti kodu yürütülür. Bu sorun 1.5.6 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| skylot jadx | >= 1.5.2, < 1.5.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.