What’s Vulnerable › Vulnerabilities

CVE-2026-115905: zip: Critical Parser Differential & Security Control Bypass via Dual-Header Inconsistencies (Zip Cloaking) Leading to Arbitrary File Overwrite & RCE

• Severity: critical (CVSS 10.0 v4.0)
• Exploited in the wild: not listed in CISA KEV
• EPSS: 0.3% probability of exploitation in the next 30 days
• Public exploit or detection template: none known
• Published: 2026-10-26 · updated 2026-10-26
• Weakness: CWE-20

Description

zip is a zip library for Rust that supports reading and writing simple ZIP files. Through 9.0.4, ZipArchive treats Central Directory File Header filenames as authoritative while ZipStreamReader extracts using Local File Header filenames without reconciling the duplicate metadata in src/read/stream.rs. A crafted archive can therefore appear benign to a component that inspects the central directory but cause a streaming extractor to write a different attacker-selected path and content, potentially overwriting files used by a downstream service. This issue is fixed in version 9.0.5.

Summary

CVE-2026-115905 is a critical parser differential in the Rust zip library (zip-rs zip2) through 9.0.4: ZipArchive trusts Central Directory filenames while ZipStreamReader extracts using Local File Header filenames without reconciling them, so a crafted archive can look benign to inspection but write attacker-chosen paths and content during streaming extraction. This can overwrite files used by a downstream service and lead to remote code execution (CVSS 10). The flaw is not listed in CISA KEV, so no known in-the-wild exploitation is confirmed. Upgrade to zip 9.0.5; until then, avoid streaming extraction of untrusted archives or validate that local and central directory headers match.

تُعدّ CVE-2026-115905 ثغرة حرجة في مكتبة zip الخاصة بلغة Rust (zip-rs zip2) حتى الإصدار 9.0.4، وتتمثل في اختلاف في تحليل البيانات بين ZipArchive الذي يعتمد أسماء الملفات في Central Directory وZipStreamReader الذي يستخرج باستخدام أسماء Local File Header دون التوفيق بينهما. لذلك يمكن لأرشيف مُصمَّم بعناية أن يبدو سليماً لأداة الفحص بينما يكتب مساراً ومحتوى يختاره المهاجم أثناء الاستخراج المتدفق، ما قد يؤدي إلى استبدال ملفات تستخدمها خدمة لاحقة والوصول إلى تنفيذ تعليمات برمجية عن بُعد (CVSS 10). الثغرة غير مدرجة في CISA KEV، ولا يوجد تأكيد لاستغلالها فعلياً. الحل هو الترقية إلى الإصدار 9.0.5، ويُنصح قبل ذلك بتجنب الاستخراج المتدفق للأرشيفات غير الموثوقة أو التحقق من تطابق ترويسات Local File Header وCentral Directory.

Affected products

• zip-rs zip2: before 9.0.5

References

• https://github.com/zip-rs/zip2/commit/8068ab480ccf8daa7411424e365fcdbe6d09443e
• https://github.com/zip-rs/zip2/releases/tag/v9.0.5
• https://github.com/zip-rs/zip2/security/advisories/GHSA-m665-v7pm-7grj

Get alerted when CVE-2026-115905 or the next vulnerability affects your stack