Raise minimum zip version to 9.0.5 for CVE-2026-115905 (GHSA-m665-v7pm-7grj)

オープン 初心者向け
  • 何か問題がありますか？
#946 コメント 1 件 リアクション 0 件 担当者 0 名 GitHub で見る

メンテナーはふだん 1 日以内に返信

まだ誰も着手していません。

評価

難易度
2/5
見積もり時間
1〜3時間
初心者へのやさしさ
68/100
issue の種類
バグ
明瞭さ
明確に書かれている
活発さ
活発
技術スタック
rust
領域
build-system, security

調査の方向性

Cargo.tomlを開き、[dependencies] と [build-dependencies] の下にある zip の項目を見つけ、それぞれのバージョン要件と既存の機能設定を確認します。各最小バージョンを9.0.5に引き上げ、その後Cargo.lockを調べます。デフォルト構成、include-zip と no-unsafe の構成、およびルールのパッケージングを検証します。両方の宣言で影響を受けるバージョンが除外され、これらの構成が安全なZIP解決バージョンでビルドされれば完了です。

索引モデルが issue の本文から書いたものです。

説明

Summary

Please raise the minimum zip version to 9.0.5 in both the runtime and build dependency declarations to exclude versions affected by CVE-2026-115905 / GHSA-m665-v7pm-7grj.

Advisory: https://github.com/advisories/GHSA-m665-v7pm-7grj

  • Affected versions: <= 9.0.4
  • First patched version: 9.0.5

Current upstream state

Checked main at commit c6bba2f3a25a2a5f0a861af17f4772c0bef844ee:

  • Cargo.lock already selects zip 9.1.3, outside this advisory's affected range. A lockfile-only update is therefore not needed on current main.
  • Both [dependencies] and [build-dependencies] still declare zip with version = "9.0", which permits affected 9.0.x versions.

Sources:

Why the lockfile alone is not sufficient

Downstream applications consuming MathCAT as a dependency resolve against their own lockfiles; MathCAT's repository lockfile does not force their resolved ZIP version. An existing downstream lockfile can retain an affected version while still satisfying the current "9.0" requirement.

PR #861 upgraded ZIP to address earlier extraction advisories, but its lockfile selected 9.0.4, which is within this advisory's affected range. The newer main lockfile resolves that for current locked builds, while the declared minimum remains permissive.

Suggested change

For both ZIP declarations, raise the requirement to version = "9.0.5" (or a newer compatible minimum), preserving the existing default-features = false and features = ["deflate", "bzip2"] settings.

  • Raise the minimum in both runtime and build dependencies.
  • Keep all resolved ZIP versions outside the advisory's affected range and verify the full dependency graph.
  • Validate default, include-zip, and no-unsafe configurations and rules packaging.
  • Include the tightened requirement in an appropriate crates.io release; already published crate versions cannot be overwritten.

Scope

The advisory concerns parser differences between ZIP local-file and central-directory headers. This report requests dependency hardening against the published advisory; it does not assert a confirmed exploitable RCE path in MathCAT itself.

主要言語
Rust
スター
130
フォーク
96
平均マージ
1日 1時間
マージ済み PR（30日）
84

環境構築

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

daisy/MathCAT のほかの issue

daisy/MathCAT の issue をすべて見る

似ている issue

Rust の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。