Lista incompleta de extensiones peligrosas en PeaZip permite ejecutar un programa o comando desde una entrada de archivo manipulada sin confirmación

Descripción

Lista incompleta de entradas no permitidas (CWE-184) en la confirmación de extensión peligrosa del visor de objetos del archivo (peach.pas, grid_obj_open) en PeaZip 10.5.0 hasta 11.2.0 en Windows, que permite a un atacante que convence a una víctima de abrir una entrada de un archivo manipulado ejecutar un programa, o un comando arbitrario, sin ningún diálogo de confirmación. El aviso (Do you want to run this file?) está condicionado por SECEXTCONST, una lista fija de siete extensiones (exe cmd msi bat ps1 vbs reg); la comprobación es una comparación exacta de cadenas de la extensión de la entrada contra esa lista, de modo que solo responde si la extensión es una de las siete y nunca si el shell va a ejecutar el fichero. Faltan en la lista los tipos ejecutables por shell y de host de scripting que Windows lanza a través de ShellExecuteW, entre ellos .url y .lnk. Un acceso directo de Internet de Windows (.url) cuya línea URL controla el atacante se lanza sin aviso, mientras que el mismo contenido byte a byte en una entrada llamada .bat sí dispara la advertencia en la misma sesión. Una entrada .lnk eleva el techo de lanzar un programa a ejecutar una línea de comandos, porque un acceso directo de Windows lleva argumentos: un acceso directo de prueba apuntando a cmd.exe con una línea de comandos elegida por el atacante se ejecutó sin aviso. El destino del acceso directo no se limita al disco local; el shell también resolvió una ruta UNC indicada por el atacante (la descarga de un payload remoto solo se intentó, no se demostró). Sin elevación de privilegios; todo se ejecuta como el usuario que abrió el archivo.

Tipo de vulnerabilidad (CWE)

CWE-184: Lista incompleta de entradas no permitidas

CWE-693: Fallo del mecanismo de protección

Versiones afectadas

PeaZip para Windows desde la 10.5.0 hasta la 11.2.0 incluida (el aviso de extensión peligrosa se introdujo en la 10.5.0, commit 8fd2a55, 2025-06-15). Corregido en la 11.3.0. Estado por defecto: no afectado.

Puntuación (CVSS 4.0)

Medio (4.6)

CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Solución

Actualizar a PeaZip 11.3.0 o superior. La corrección amplía la lista de extensiones peligrosas para cubrir los tipos ejecutables por shell y de host de scripting (entre ellos .url y .lnk), de modo que el aviso de confirmación también se muestra para ellos, y aplica la comprobación a la ruta de abrir/previsualizar con la aplicación asociada además del gestor de doble clic. Commit de corrección 90ddbae (2026-08-27).

Parche

Commit 90ddbaee0945a4d8ffa4d972d43711bbfb9576ba

Créditos

• cgomezpob - finder
• Darío Rivas Quero - analyst
• Secur0 CNA - coordinator

Fuente del descubrimiento: Externo

Registro oficial: CVE-2026-104024