Vulnérabilité · NVD

CVE-2026-58052

CVE-2026-58052, sévérité low (CVSS 3.3) : 1 app suivie concernée, toutes corrigées ou à statut indéterminable en version courante.

Gravité (CVSS): 3.3
Exploitation: 0.2 %
Apps suivies: 1
Encore exposées: 0

Publié le 2026-06-28

EN 7-Zip for Windows through 26.01 fails to preserve the Mark-of-the-Web when extracting a crafted RAR5 archive, because its guard that suppresses an archive-supplied Zone.Identifier stream matches the exact name 'Zone.Identifier' while a RAR5 STM record named ':Zone.Identifier:$DATA' is not matched and NTFS canonicalizes it to the same stream, overwriting the propagated Internet-zone marker with ZoneId=0. A second STM record named '::$DATA' overwrites the extracted file's default data stream, letting an attacker defeat SmartScreen/MotW warnings and spoof file content.

Vecteur d'attaque : Local Aucun privilège requis

Voir le vecteur CVSS brut

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

EPSS 0.17% exploit très peu probable percentile 6.8%

Apps suivies liées à cette CVE

Pour chaque app : la plage affectée, la version qui corrige, et où en est l'app suivie aujourd'hui.

7-Zip Windows winget:7zip.7zip

Affecté ≤26.01 Corrigé > 26.01 Dernière suivie 26.03 patchée

Builds affectées observées (20)

26.01 26.00 25.01 25.00 24.09 24.08 24.07 24.06 24.05 23.01 22.01 22.00 21.07 21.06 19.00 19.00.00.0 18.06 18.05 18.01 16.04

Configurations CPE vulnérables (1)

Vendor	Produit	Plateforme	Versions	CPE 2.3 URI
7-zip	7-zip Toutes plateformes (wildcard)	Toutes plateformes (wildcard)	≤26.01	cpe:2.3:a:7-zip:7-zip::::::::

Voir sur NVD ↗