В Rust-крейте zip нашли уязвимость с прерыванием процесса

CVE-2026-115909 в крейте zip для Rust (версии 1.3.0–9.0.0) позволяет вредоносным ZIP-архивам вызывать необрабатываемый SIGABRT через завышенный размер цели симлинка. Исправление в версии 9.0.0 ограничивает длину цели симлинка 4096 байтами.

• Уязвимость затрагивает zip >= 1.3.0 и < 9.0.0, CVSS 7.5
• 112-байтный ZIP64-архив вызывает SIGABRT через Vec::with_capacity
• Патч в zip 9.0.0 вводит лимит MAX_SYMLINK_TARGET_LEN в 4096 байт
• Публичный PoC уже доступен