CVE-2026-104025

Path Traversal (CWE-22) w funkcji wykonywania_obj przeglądarki obiektów archiwum (peach.pas) w PeaZip 11.2.0 i wcześniejszych wersjach w systemie Windows umożliwia atakującemu, który przekonuje ofiarę, aby podejrzał wpis spreparowanego archiwum za pomocą akcji „Podgląd z... -> Powiązana aplikacja” (Shift+Ctrl+O) na wykonanie dowolnego programu już istniejącego w systemie ofiary, bez okna dialogowego z ostrzeżeniem. Funkcja sprawdza tylko outname (własny katalog tymczasowy PeaZipa) za pomocą checkfiledirname, podczas gdy faktycznie wykonywany ciąg znaków jest konkatenacją outname+tempstring; tempstring jest pobierany dosłownie z nazwy wpisu archiwum (StringGridList.Cells[12,...]) i nigdy nie jest sprawdzany. checkfiledirname (list_utils.pas) odrzuca znaki kontrolne i znaki zastrzeżone w nazwie pliku, ale nie sprawdza zawartości ścieżki „..”, więc wpis o nazwie ../../../../Windows/System32/calc.exe wymyka się z katalogu wyodrębniania i jest przekazywany do cp_open -> ShellExecuteW; moduł rozpakowujący (7-Zip) usuwa przejście, podczas gdy otwieracz nie. Ponadto monit o potwierdzenie niebezpiecznego rozszerzenia SECEXTCONST jest zaimplementowany tylko w procedurze obsługi podwójnego kliknięcia (grid_obj_open), a nie w tej ścieżce podglądu, więc plik wykonywalny wewnątrz archiwum dociera do ShellExecuteW bez zapowiedzi, a w przypadku uruchomienia monitu podaje nazwę wyświetlaną wpisu, a nie ustaloną ścieżkę, która zostanie uruchomiona. Wykonanie dowolnego kodu zostało zademonstrowane w oparciu o weryfikację koncepcji w porównaniu z oficjalnymi kompilacjami PeaZip, potwierdzoną w dwóch formatach archiwów (.zip i .tar), aby wykazać, że defekt dotyczy obsługi własnej ścieżki PeaZip, a nie parsera pojedynczego formatu.