CVE-2026-85396

Yüksek

Açıklama

rubyzip 3.4.0 öncesi sürümler, sondaki ayırıcılar olmadan ön ek karşılaştırması kullanarak çıkarma yollarını düzgün şekilde doğrulamayan Zip::Entry#extract fonksiyonunda bir path traversal zafiyeti içermektedir. Saldırganlar, hedef ön eki paylaşan kardeş yollara, amaçlanan çıkarma dizininin dışına dosya yazmak için ../upload_backup/owned.sh gibi isimlere sahip arşiv girişleri oluşturabilirler.

ÖnemYüksek

CVSS7.5

İstismar olasılığı—

ÜrünRubyzip

Yayın3 Eyl 2026

İlk görülme3 Eyl 2026

Zayıflık türüCWE-22Dizin geçişi (path traversal)

Nasıl düzeltilir

Güncelleyin

rubyzip rubyzip3.4.0 ya da sonraki bir sürüm

Yamalar

github.com/rubyzip/rubyzip/commit/17edfbf4423b83211b075acc23a7d8640da63449

Üretici duyuruları

github.com/rubyzip/rubyzip/releases/tag/v3.4.0

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
rubyzip rubyzip	v < 3.4.0	3.4.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.