Platform
go
Component
github.com/mholt/archiver
Opgelost in
3.5.2
3.5.2
CVE-2025-3445 beschrijft een Path Traversal kwetsbaarheid in de github.com/mholt/archiver Go bibliotheek. Deze kwetsbaarheid stelt aanvallers in staat om, via een speciaal ontworpen ZIP-bestand, toegang te krijgen tot bestanden buiten de beoogde directory. De kwetsbaarheid treft applicaties die deze bibliotheek gebruiken voor het verwerken van ZIP-bestanden. Een upgrade naar versie 3.0.1 is vereist om de kwetsbaarheid te verhelpen.
Een succesvolle exploitatie van CVE-2025-3445 kan leiden tot ongeautoriseerde toegang tot gevoelige bestanden op het systeem waar de github.com/mholt/archiver bibliotheek wordt gebruikt. Dit kan omvatten configuratiebestanden, broncode, of andere vertrouwelijke gegevens. Afhankelijk van de privileges van de applicatie die de bibliotheek gebruikt, kan de aanvaller mogelijk ook de controle over het systeem overnemen. De impact is vergelijkbaar met andere Path Traversal kwetsbaarheden, waarbij de aanvaller de directory structuur kan 'navigeren' om toegang te krijgen tot verboden bronnen.
Op dit moment (2025-08-05) is er geen vermelding op CISA KEV. Er zijn geen publieke proof-of-concept exploits bekend. De kwetsbaarheid is recentelijk openbaar gemaakt, dus het is mogelijk dat er in de toekomst exploits beschikbaar komen. De CVSS score van 8.1 (HIGH) duidt op een significant risico.
Applications and services that utilize the github.com/mholt/archiver Go library to process ZIP files are at risk. This includes applications that handle user-uploaded ZIP files or process ZIP archives from external sources. Go developers integrating this library into their projects should prioritize upgrading.
• go / supply-chain: Inspect dependencies for vulnerable versions of github.com/mholt/archiver. Use go list -m all and filter for versions < 3.0.1.
go list -m all | grep github.com/mholt/archiver | grep "< 3.0.1"• generic web: Monitor web server access logs for requests containing suspicious ZIP file uploads with path traversal sequences (e.g., ../../../../etc/passwd).
• generic web: Check for directory listings enabled on the server that could expose ZIP files.
disclosure
Exploit Status
EPSS
0.67% (71% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2025-3445 is het upgraden van de github.com/mholt/archiver bibliotheek naar versie 3.0.1 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van input validatie op de ZIP-bestanden die worden verwerkt. Controleer de bestandsnamen en paden in het ZIP-bestand om te voorkomen dat er paden buiten de beoogde directory worden geëxtraheerd. Gebruik een WAF (Web Application Firewall) om verdachte ZIP-bestanden te blokkeren. Na de upgrade, verifieer de fix door een kwaadaardig ZIP-bestand te creëren met een path traversal payload en controleer of de extractie mislukt.
Actualice a una versión de la librería mholt/archiver que no sea vulnerable. Considere migrar a mholt/archives, el sucesor de mholt/archiver, que ha eliminado la funcionalidad Unarchive(). Si no es posible actualizar, evite usar la función archiver.Unarchive() con archivos ZIP provenientes de fuentes no confiables.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-3445 is a Path Traversal vulnerability in the github.com/mholt/archiver Go library, allowing attackers to read arbitrary files via crafted ZIP files.
You are affected if you are using a version of github.com/mholt/archiver prior to 3.0.1 and process ZIP files.
Upgrade the github.com/mholt/archiver library to version 3.0.1 or later. Implement input validation on ZIP file contents as a temporary workaround.
There is currently no confirmed active exploitation, but public proof-of-concept code is expected.
Refer to the GitHub repository for updates and advisories: https://github.com/mholt/archiver
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je go.mod-bestand en we vertellen je direct of je getroffen bent.