PT-2020-19692 · Unknwon · Cae/Zip

Georgios Gkitsas · Publicado 2020-06-17 · Atualizado 2022-01-14 · CVE-2020-7664

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

github.com/unknwon/cae/zip (versões afetadas não especificadas)

Descrição

A função ExtractTo não escapa com segurança os caminhos de arquivos em arquivos zip que incluem “..” no início ou no final. Isso permite que um invasor adicione ou substitua arquivos em todo o sistema.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2020-7664

GHSA-VPX7-VM66-QX8R

GO-2021-0228

SNYK-GOLANG-GITHUBCOMUNKNWONCAEZIP-570383

Produtos afetados

Cae/Zip

Referências · 12

• 🔥 https://snyk.io/vuln/SNYK-GOLANG-GITHUBCOMUNKNWONCAEZIP-570383 · Exploit
• https://github.com/unknwon/cae · Nota
• https://github.com/unknwon/cae/commit/07971c00a1bfd9dc171c3ad0bfab5b67c2287e11 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-7664 · Aviso do Fabricante
• https://t.me/cvenotify/4595 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-vpx7-vm66-qx8r · Aviso do Fabricante
• https://pkg.go.dev/vuln/GO-2021-0228 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-7664 · Nota de Segurança
• https://ubuntu.com/security/CVE-2020-7664 · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2021-0228 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2020-7664 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-7664 · Aviso do Fabricante