CVE-2026-61449

Grav 2.0.1, ZipArchiver ve GPM\Installer bileşenlerinde bir decompression-bomb boyut sınırı atlatma zafiyeti içermektedir. 2.0.1 sürümünde getirilen boyut sınırı, her girdinin ZIP merkezi dizin üst bilgisinde beyan edilen sıkıştırılmamış boyutu (ZipArchive::statIndex()['size']) toplar ve ayıklama işleminden önce system.gpm.archive.max_uncompressed_size değerini aşan arşivleri reddeder. Bu beyan edilen boyut saldırgan tarafından manipüle edilebilir olduğundan ve gerçek şişirilmiş akışla çapraz kontrol edilmediğinden, girdi başına küçük boyutlar beyan eden özel olarak hazırlanmış bir arşiv, sınır kontrolünü geçerken extractTo() fonksiyonu gerçek ve çok daha büyük içeriği yazarak diski doldurur veya inode kaynaklarını tüketir. Arşivin bir paket kaynağı tarafından sağlanması veya yönetici tarafından yüklenmesi gerekir (admin/operator güveni). 2.0.2 sürümünde düzeltilmiştir. Bu, GHSA-928x-9mpw-8h56 için eksik bir düzeltmedir.