何が起きたか
zt-zip の ZipUtil.unpack は展開先の外へ出るエントリを拒否しますが、Zips.get(zip).unpack().destination(dir).process() という fluent API 側には同じ確認がありませんでした。../ を含むエントリ名の ZIP を展開すると、展開先ディレクトリの外にファイルが書き込まれます。transformer を指定した場合も同様です。
やること
1.18.0 以降へ更新してください。すぐに更新できない場合は、信頼できない ZIP の展開に Zips の fluent API を使わず、展開先の外へ出るエントリを拒否する ZipUtil.unpack を使ってください。
出典
GitHub Advisory Databasegithub.com英語 ↗zt-zip のセキュリティ勧告github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。