CVE-2026-116137
Beschrijving NL
Adm-zip tot en met versie 0.6.1 bevat een omzeiling van de validatie voor dubbele vermeldingen, waardoor aanvallers de readEntries()-controle kunnen omzeilen door canoniek equivalente bestandsnamen te gebruiken, zoals './hello.txt' en 'hello.txt'. Aanvallers kunnen ZIP-archieven maken waarin getEntry() of readAsText() de inhoud valideert als goedaardig, terwijl extractAllTo() de kwaadaardige inhoud naar hetzelfde pad schrijft, waardoor integriteitscontroles worden omzeild.
Origineel (Engels) tonen
adm-zip through 0.6.1 contains a duplicate-entry validation bypass that allows attackers to evade the readEntries() check by using canonically equivalent entry names like './hello.txt' and 'hello.txt'. Attackers can craft ZIP archives where getEntry() or readAsText() validates benign content while extractAllTo() writes malicious content to the same path, bypassing integrity checks.