Gradle Shadow: Zip Slip path traversal in ShadowCopyAction — no independent entry-name sanitization

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

The Gradle Shadow plugin creates fat or uber JARs and supports file transformation and package relocation. Prior to version 9.6.0, Shadow does not independently validate ZIP entry names before writing them to its output archive. A malicious dependency can cause traversal entry names to be preserved when the applicable archive-processing path does not reject them. Some affected Shadow implementations process dependency archives directly, so upgrading Gradle alone does not universally prevent this behavior. If the resulting archive is extracted without path traversal protection, attacker-controlled files can be written outside the intended destination. This issue is fixed in version 9.6.0.

Etkilenen sürümler1 yazılım

Kaynaklar5 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…shadow/security/advisories/GHSA-rr8v-fxxf-c986 Diğer
• github.com/…ommit/0c2744fcc050e34a084f5131d5e167b13c342bfd Diğer
• github.com/GradleUp/shadow/releases/tag/9.6.0 Diğer

Kayıt geçmişi

1. 6 Kas 2026 20:51Yayımlandı

İlgili açıklar

• 6,5 CVE-2026-108262DDEV incomplete tar symlink traversal fix allows host file overwrite - Incomplete fix of CVE-2026-32885
• 6,5 CVE-2026-119758ERPNext OCR 1.1.1 Path Traversal and SSRF via read_document
• 7,5 CVE-2026-102359Kroki: TikZ Secure Mode Local File Read via LaTeX File I/O Primitives
• 8,2 CVE-2026-121623Symfony DataUriNormalizer: Büyük/küçük harf duyarlı kontrol nedeniyle yerel dosya okuma açığı
• 8,8 CVE-2026-123621Usermin mailbox/detachall.cgi dosya yolu geçişi (path traversal) ile dosya yazma açığı
• 8,1 CVE-2026-53980Charmbracelet Wish git ara katmanında dizin geçişi (path traversal) açığı