- Son 7 gün
- CWE-436
CVE-2026-116137
adm-zip'te Kanonik Eşdeğer Adlarla Yinelenen Girdi Doğrulamasının Atlatılması
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
adm-zip 0.6.1 sürümüne kadar olan sürümlerde, yinelenen girdi doğrulamasını atlatmaya yarayan bir kusur bulunmaktadır. Saldırganlar, './hello.txt' ve 'hello.txt' gibi kanonik olarak eşdeğer girdi adlarını kullanarak readEntries kontrolünden kaçabilmektedir. Saldırganlar, getEntry veya readAsText fonksiyonlarının zararsız içeriği doğruladığı, ancak extractAllTo fonksiyonunun aynı yola kötü amaçlı içerik yazdığı ZIP arşivleri hazırlayabilmekte ve böylece bütünlük kontrollerini atlatabilmektedir.
Kaynaktaki açıklama (İngilizce)
adm-zip through 0.6.1 contains a duplicate-entry validation bypass that allows attackers to evade the readEntries() check by using canonically equivalent entry names like './hello.txt' and 'hello.txt'. Attackers can craft ZIP archives where getEntry() or readAsText() validates benign content while extractAllTo() writes malicious content to the same path, bypassing integrity checks.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| cthackers adm-zip | ≤ 0.6.1 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/cthackers/adm-zip/issues/587 Üçüncü taraf
- vulncheck.com/…dation-bypass-via-canonically-equivalent-names Üçüncü taraf
- github.com/cthackers/adm-zip Diğer
- github.com/…9ba4c7c865db426e2de1997cb41194d9872/zipFile.js Diğer
- github.com/…9ba4c7c865db426e2de1997cb41194d9872/adm-zip.js Diğer
- github.com/…4c7c865db426e2de1997cb41194d9872/util/utils.js Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.