A command injection vulnerability was discovered in the `rpmuncompress` utility of RPM. When extracting certain archive formats (ZIP, 7z, GEM) to a specified destination directory, the tool inserts the archive's top-level folder name into a shell command without properly sanitizing it. A specially crafted archive containing shell metacharacters in its folder name can execute arbitrary commands as the user running the extraction.
CVE-2026-44604 is a command injection vulnerability in RPM's rpmuncompress utility that allows arbitrary command execution through unsanitized archive folder names. Attackers can craft malicious archives with shell metacharacters to execute commands with the privileges of the extraction process.
ثغرة حقن الأوامر في أداة rpmuncompress في RPM تسمح بتنفيذ أوامر عشوائية عند استخراج أرشيفات ZIP و7z و GEM. يمكن للمهاجمين إنشاء أرشيفات ضارة تحتوي على أحرف shell في أسماء المجلدات لتنفيذ أوامر بصلاحيات المستخدم الذي يقوم بالاستخراج.
A command injection flaw exists in RPM's rpmuncompress tool when processing ZIP, 7z, and GEM archives with unsanitized folder names. Specially crafted archives containing shell metacharacters can lead to arbitrary command execution on affected systems.
Update RPM to the latest patched version that properly sanitizes archive folder names before using them in shell commands. Implement input validation and use safe command execution methods that avoid shell interpretation. Restrict archive extraction to trusted sources only.
قم بتحديث RPM إلى أحدث إصدار معدل يقوم بتعقيم أسماء مجلدات الأرشيف بشكل صحيح قبل استخدامها في أوامر shell. طبق التحقق من صحة المدخلات واستخدم طرق تنفيذ الأوامر الآمنة التي تتجنب تفسير shell. قيد استخراج الأرشيف إلى المصادر الموثوقة فقط.