Gopeed: zip-slip в автораспаковке архивов позволяет записывать файлы вне папки загрузок

Коротко: 19 сентября 2026 раскрыта CVE-2026-93992 — уязвимость path traversal (zip-slip) в кроссплатформенном download-менеджере Gopeed. Проблема в функции AutoExtract: вредоносный архив с путями вида «../../» может при автораспаковке записать файл за пределами целевой папки загрузок. Затронуты все версии от v0.0.1 до v2.0.0-beta.2, включая всю линейку v1.x. Уязвимость закрыта в v2.0.0-beta.3 двумя коммитами, добавившими проверку путей при извлечении.

Что такое Gopeed

Gopeed — бесплатный менеджер загрузок с открытым исходным кодом. По данным официального сайта проекта, программа поддерживает несколько протоколов в одном приложении: HTTP/HTTPS, BitTorrent, magnet-ссылки и ed2k, работает на Windows, macOS, Linux, Android, iOS и через веб-интерфейс, а также имеет расширения для Chrome, Edge и Firefox, перехватывающие ссылки на скачивание. Среди заявленных возможностей — многопоточная загрузка, REST API для удалённого управления и система расширений на JavaScript.

Одна из встроенных функций — AutoExtract: после скачивания архивного файла программа может автоматически распаковать его содержимое в папку загрузок без дополнительных действий пользователя. Именно эта функция и оказалась источником уязвимости.

CVE-2026-93992: что случилось

По данным записи в базе OSV.dev, опубликованной 19 сентября 2026, в модуле распаковки архивов Gopeed отсутствовала проверка путей файлов внутри архива на попытки выхода за пределы целевой директории. Уязвимость затрагивает все версии программы от v0.0.1 до v2.0.0-beta.2 — то есть всю стабильную линейку v1.x и часть бета-версий v2.0.0.

Исправление внесено двумя коммитами в исходном коде проекта на GitHub, добавившими валидацию путей при извлечении файлов из архива — теперь запись за пределы папки назначения блокируется независимо от того, что указано в метаданных архива.

Как работает атака zip-slip

Zip-slip — это класс атак через вредоносный архив, в котором имя файла внутри содержит символы обхода директории, например ../../../../home/user/.ssh/authorized_keys. Штатная распаковка ожидает, что все файлы окажутся внутри целевой папки, но без проверки путей программа буквально выполняет то, что написано в архиве, и записывает файл туда, куда укажет путь — вплоть до системных каталогов, если у процесса есть права на запись.

В случае Gopeed вектор атаки завязан на функцию AutoExtract: пользователь скачивает архив (например, по прямой ссылке, через торрент или magnet-ссылку) с включённой автораспаковкой, программа извлекает содержимое без явного подтверждения — и вредоносные пути внутри архива срабатывают автоматически, без дополнительного клика.

Кто под угрозой и почему опасно

Риск актуален прежде всего для пользователей, которые скачивают архивы из открытых источников — торрент-трекеров, публичных magnet-ссылок, файлообменников — и держат включённой автоматическую распаковку. Похожий класс уязвимостей — не редкость для инструментов, работающих с архивами: ранее аналогичную проблему в обработке архивов устраняла консольная утилита Rclone в версии 1.75.1, а в целом опасность вредоносных архивов и их расширений разобрана в нашей карте опасных расширений файлов.

• Более высокие ставки — при запуске Gopeed с повышенными правами (например, как системная служба для автоматических загрузок на сервере или NAS).
• Сценарий социальной инженерии: злоумышленник размещает «полезный» архив с заведомо вредоносными путями на публичном трекере, рассчитывая на пользователей с включённым AutoExtract.
• Косвенный риск — перезапись конфигурационных файлов других программ, которые запускаются автоматически при старте системы.

Как обновиться и снизить риск

1. Обновите Gopeed до версии 2.0.0-beta.3 или новее. Скачать актуальную сборку можно со страницы релизов проекта на GitHub или через встроенный механизм проверки обновлений в самом приложении.
2. Если обновление недоступно сразу — отключите AutoExtract. Ручная проверка архива перед распаковкой убирает автоматический триггер атаки; содержимое можно распаковать вручную стандартным архиватором после проверки.
3. Не распаковывайте архивы из недоверенных раздач автоматически, особенно если Gopeed используется на сервере или NAS с широкими правами доступа.

После обновления стоит свериться с номером версии в настройках приложения. Общие принципы безопасной работы с любыми скачанными архивами — распаковка в отдельную «карантинную» папку и проверка содержимого антивирусом — снижают риск независимо от конкретной уязвимости конкретной программы.

Источники

• OSV.dev — CVE-2026-93992
• GitHub NixOS/nixpkgs — Gopeed Arbitrary File Write via Path Traversal