关键漏洞信息 漏洞名称: DotNet Single file OOB Heap Read 漏洞ID: GHSA-ccpc-2c22-xv5c, CVE-2026-26282 CVE类型: CWE-126 (超出限制的缓冲区写操作) 影响版本: 5.0 Update 1 (5.0.1252.0) or 6.0 Final (6.0.1630.0) or later 修复版本: 未提供具体修复版本信息 严重性: Medium (CVSS v4.0: 5.2/10) 漏洞详情 问题描述: 在 bundle header parser中存在越界堆读取漏洞，因为缺少边界检查。 - 在 文件的 方法（第276行）中解析 时出现问题。 - 在找到 magic value和bundle签名后，程序会读取 并分配堆缓冲区。 - 然后，使用 索引解析头信息。注意 是攻击者可控的。 - 此整数(int32)用于迭代文件条目。每次迭代从 读取多个字段并更新 ，但从未与 进行边界检查。 影响 漏洞影响: 使用制作的文件打开NanaZip会导致程序崩溃或向用户泄露堆数据。 修复 解决方案: 使用修复了此漏洞的NanaZip版本。 修补方法: 确保对所有使用 的字段读取操作进行边界检查。