search

alibaba / atlas

A powerful Android Dynamic Component Framework.
Apache License 2.0
8.12k stars 1.48k forks source link

zip_slip #358

Open QiAnXinCodeSafe opened 5 years ago

QiAnXinCodeSafe commented 5 years ago

  1. demo问题的issue格式： [demo]:title ZipUtils.java中提供了unzip方法对压缩文件进行解压，但是由于没有校验压缩文件的条目名，当解压又攻击者恶意构造的压缩文件时(条目名中带有../)，会覆盖初始文件夹之外的铭感文件 图片

  2. 容器功能接入或者如何使用的答疑：[use]:title

  3. 提新需求的格式：[feature]:title