CVE-2026-61725

Sevenz-rust2 to natywny dla Rust kompresor 7z i `dekompresor`or. Przed wersją 0.21.1 wyodrębnienie archiwum 7z dostarczonego przez osobę atakującą może spowodować zapisanie lub nadpisanie plików poza katalogiem docelowym. W `src/util/decompress.rs`, `decompress_impl` oblicza każde miejsce docelowe za pomocą `dest.join(entry.name())` bez normalizowania nazwy wpisu UTF-16 archiwum ani sprawdzania jego zawartości, a `default_entry_extract_fn` zapisuje do niego za pomocą `File::create`. Komponenty katalogu nadrzędnego wychodzą z katalogu głównego ekstrakcji, a bezwzględna ścieżka wejścia powoduje, że łączenie całkowicie odrzuca miejsce docelowe. Wygodne punkty wejścia „dekompresuj”, „dekompresuj_plik”, „dekompresuj_z_hasłem” i „dekompresuj_plik_z_hasłem” korzystają z tej domyślnej ścieżki. Zastąpienie zapisywalnych plików konfiguracyjnych, startowych, cron lub kompilacji może prowadzić do wykonania lub utrwalenia kodu. Bajty archiwum stanowią granicę zaufania kontrolowaną przez osobę atakującą, także w przypadku aplikacji, które automatycznie rozpakowują przesłane lub w inny sposób niezaufane archiwa. Ten problem został rozwiązany w wersji 0.21.1.