CVE-2026-75598
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Wtyczka Gradle Shadow tworzy grube lub uberowe pliki JAR oraz obsługuje transformację plików i relokację pakietów. Przed wersją 9.6.0 Shadow nie sprawdzał niezależnie nazw wpisów ZIP przed zapisaniem ich w swoim archiwum wyjściowym. Złośliwa zależność może spowodować zachowanie nazw wpisów przechodzenia, jeśli odpowiednia ścieżka przetwarzania archiwum ich nie odrzuci. Niektóre implementacje Shadow, których dotyczy problem, bezpośrednio przetwarzają archiwa zależności, więc sama aktualizacja Gradle nie zawsze zapobiega takiemu zachowaniu. Jeśli powstałe archiwum zostanie rozpakowane bez zabezpieczenia przed przekroczeniem ścieżki, pliki kontrolowane przez osobę atakującą mogą zostać zapisane poza zamierzonym miejscem docelowym. Ten problem został rozwiązany w wersji 9.6.0.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org