CVE-2019-10743
中已发布
所有版本的 archiver 都允许攻击者通过 "unarchive" 函数执行 Zip Slip 攻击。该攻击利用特制的 zip 压缩包，其中包含路径遍历文件名。利用时，恶意压缩包中的文件名会被拼接到目标提取目录上，导致最终路径落在目标文件夹之外。例如，一个 zip 压缩包可能包含一个路径为...
- 已发布
- 2019年10月28日
- 已更新
- 2024年8月4日
- 分配 CNA
- snyk
- 观察到的证据
- 2026年8月8日
初级CVSS
5.5/ 10中
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N6.4%
低 · 未来 30 天
- 百分位
- 93.4%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
所有版本的 archiver 都允许攻击者通过 "unarchive" 函数执行 Zip Slip 攻击。该攻击利用特制的 zip 压缩包，其中包含路径遍历文件名。利用时，恶意压缩包中的文件名会被拼接到目标提取目录上，导致最终路径落在目标文件夹之外。例如，一个 zip 压缩包可能包含一个路径为 "../../file.exe" 的文件，从而突破目标文件夹。如果可执行文件或配置文件被包含恶意代码的文件覆盖，该问题很容易演变为任意代码执行问题。
来源
1概念验证漏洞利用，演示 mholt/archiver 中的 Zip Slip 漏洞（CVE-2019-10743），包含易受攻击的服务器和用于路径遍历测试的 Python 载荷。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。