В библиотеке zip для Rust обнаружили уязвимость CVE-2026-115905 с оценкой 10 баллов по CVSS 4.0. Специально подготовленный архив может пройти проверку как обычный PDF, а при распаковке перезаписать системный скрипт на сервере. Проблема затрагивает версии библиотеки до 9.0.5.
Причина кроется в двух записях имени файла внутри ZIP. Защитный сканер и распаковщик могут прочитать разные имена, позволяя злоумышленнику подменить содержимое после проверки. Разработчики исправили ошибку, но контроль совпадения заголовков по умолчанию остался отключённым даже в версии 9.1.3.
Для защиты серверов, автоматически обрабатывающих чужие архивы, недостаточно просто обновить зависимость. Рекомендуется перейти на zip 9.1.3 или новее и явно включить enforce_header_consistency(true). Такая настройка позволит обнаруживать подмену до переноса распакованных файлов на постоянное место.