Vaadin: 特制的 ZIP 归档文件可以逃脱预期的提取目录

该漏洞允许攻击者通过控制Vaadin的Node.js下载过程，利用恶意ZIP文件在系统上执行任意代码或访问敏感数据。攻击者可能通过DNS劫持、中间人攻击、受损镜像或供应链攻击来控制下载过程。成功利用此漏洞可能导致未经授权的文件修改、数据泄露，甚至可能导致系统被完全控制。由于Vaadin Flow Project广泛应用于企业级Web应用程序，因此该漏洞的潜在影响范围非常广泛，可能影响大量用户和系统。

Organizations using Vaadin Flow Project in their web applications, particularly those relying on automated Node.js downloads during the build process, are at risk. Shared hosting environments where users have limited control over the build process are also particularly vulnerable.

• java / server:

find /path/to/vaadin/installation -name "flow-project*" -type d -print0 | xargs -0 grep -i 'path traversal'

• generic web:

curl -I <your_vaadin_application_url> | grep -i 'X-Content-Type-Options: nosniff'

1. 2026-03-10Disclosure

   disclosure

1. 已保留2026-02-19
2. 发布日期2026-03-10
3. 修改日期2026-03-14
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即升级至受影响版本中已修复漏洞的版本（14.14.1）。如果无法立即升级，可以考虑以下临时缓解措施：限制Node.js下载的来源，确保下载过程的完整性；使用防火墙或代理服务器来过滤恶意ZIP文件；监控系统日志，检测异常的文件写入活动。升级后，请验证新版本是否已成功部署，并确认漏洞已得到修复。