| 細節描述： |
在受影響的 WinRAR 安裝環境中，存在多個漏洞，可能讓攻擊者執行任意代碼或進行 HTML 注入攻擊。透過精心設計的壓縮檔案，攻擊者可操控檔案路徑，進而執行惡意代碼；此外，「生成報告」功能也允許攻擊者將 HTML 標籤注入報告，導致安全風險。
CVE-2025-6218：CVSS 7.8
此漏洞允許遠端攻擊者在受影響的 RARLAB WinRAR 安裝環境中執行任意程式碼。該漏洞需要使用者互動才能被利用，因為目標必須訪問一個惡意頁面或打開一個惡意檔案。具體的問題出現在壓縮檔案處理檔案路徑的方式中。精心設計的檔案路徑可以使程序遍歷到不應該進入的目錄。攻擊者可以利用此漏洞，在當前使用者的上下文中執行程式碼。
另外，WinRAR 的「生成報告」功能未對壓縮檔案名稱進行適當過濾，導致可能會將帶有 HTML 標籤的檔案名稱注入生成的 HTML 報告中，從而存在 HTML 注入風險。
HiNet SOC 建議管理者儘速評估更新，以降低受駭風險。
https://hisecure.hinet.net/secureinfo/hotnews.php |
