吳明宜WinRAR修補兩大漏洞，包括目錄遍歷與HTML注入問題，建議用戶立即更新至7.12 Beta 1版本。
知名檔案壓縮軟體 WinRAR 供應商 RARLab，修補了一款可讓攻擊者在受害者 PC 上執行惡意程式碼的重大漏洞。
編號 CVE-2025-6218 的漏洞為一目錄遍歷 (Directory traversal) 漏洞，存在壓縮檔內檔案路徑的處理過程中。變造的檔案路徑造成該行程跨越到非預期的目錄。攻擊者可以利用該漏洞，以現有用戶身份在 WinRAR 環境下執行程式碼。不過要濫用本漏洞，需要使用者互動，他需要造訪惡意網頁或開啟惡意檔案，所以風險值為 CVSS 7.8 。
這項漏洞是由代號 whs3-detonator 通報，並和趨勢科技 Zero Day Initiatives 合作發佈。 RARLab 也發佈安全公告，警告本漏洞可能被用來在敏感地方如 Windows 啟動資料匣植入惡意檔案，導致在系統下次登入時遭到執行程式碼。這問題只發生在 Windows 版。 Unix 版 RAR 、 UnRAR 及 Android 版 RAR 不受影響。 RARLab 已經發佈新版本 WinRAR 7.12 Beta 1 修補漏洞，用戶最好儘速升級到最新版本。
WinRAR 7.12 另外還修補了一個未命名的 HTML 注入漏洞。舊版 WinRAR 的「產生報告」功能未經「消毒」(sanitization) 而在產生的 HTML 中包含壓縮檔名，可造成報告被注入有 HTML tag（即<script>）的檔名。這可能在 WinRAR 的報告注入惡意 HTML，也可能進一步執行惡意 JavaScript 程式碼。
來源：Tom’s Hardware 、 RARLab