BcZip: ZIP展開時にエントリパス検証を追加（Zip Slip対策）

[kaminuma]

概要

BcZipクラスのZIP展開処理において、ZIP内エントリのパスを事前に検証し、
展開先ディレクトリ配下に収まらないエントリを含むZIPを拒否する処理を追加しました。
Zip Slip（パストラバーサル）脆弱性への対策となります。

補足（設計意図）

本PRは、ZIP 展開処理におけるパス検証の欠如を補う目的で、
Defense in Depth の観点から実装したものになります。

変更点

• BcZip::_extractByPhpLib および _extractByCommand メソッドに、ZIPエントリのパス検証処理を追加しました。
• ZIP内の各エントリについて、正規化後の展開先パスが指定された展開先ディレクトリ（$target）配下に収まっているかをチェックします。
• 展開先ディレクトリ配下に収まらないエントリを含むZIPは、展開処理を中断します。
• 意図しないディレクトリへの書き込み（Zip Slip / パストラバーサル）を防止します。
• 関連するユニットテストを追加しました。

背景

ZIP展開処理は、実行環境や展開経路（ZipArchive / unzip コマンド）によって挙動が異なる可能性があります。
そのため、ランタイムやライブラリ側の挙動に依存せず、アプリケーション側で明示的にZIPエントリの検証を行うことで、Defense in Depth（多層防御）の観点から安全性を向上させています。

動作確認

1. ユニットテスト

BcZipTest.php に追加したテストケースが通過することを確認しました。

2. 管理画面での動作確認（GUI）

正常系（リグレッション確認）

修正適用後、通常のテーマ・プラグインのアップロード機能に影響がないことを確認しました。

• テーマ管理：管理画面 > テーマ管理 > 新規追加
  正常なテーマZIPをアップロード → 正常にインストール完了
• プラグイン管理：管理画面 > プラグイン管理 > 新規追加
  正常なプラグインZIPをアップロード → 正常にインストール完了

異常系（脆弱性対策確認）

不正なパス（例：../ を含むエントリ）を含むZIPファイルが、適切に拒否されることを確認しました。

• テーマ管理 / プラグイン管理ともに
  不正なZIPをアップロード → エラーとなり、展開されないことを確認

[Copilot]

Pull request overview

This PR addresses the Zip Slip (path traversal) vulnerability in the BcZip class by adding validation to ensure ZIP entry paths remain within the intended extraction directory. The implementation follows a defense-in-depth approach by validating paths before extraction regardless of runtime behavior.

Key Changes:

• Added pre-extraction path validation to both _extractByPhpLib and _extractByCommand methods
• Implemented helper methods for path normalization and safety checks (_normalizeTargetPath, _normalizeRelativePath, _normalizeAbsolutePath, _isZipEntrySafe, _validateZipEntries)
• Added unit tests to verify rejection of malicious ZIP files containing path traversal attempts

Reviewed changes

Copilot reviewed 2 out of 2 changed files in this pull request and generated 16 comments.

File	Description
plugins/baser-core/src/Utility/BcZip.php	Implemented ZIP entry path validation logic with new helper methods to detect and reject malicious paths (e.g., ../, absolute paths, null bytes) before extraction
plugins/baser-core/tests/TestCase/Utility/BcZipTest.php	Added unit tests for Zip Slip protection, path normalization, and entry safety validation to verify the security fixes work correctly

[Copilot]

Pull request overview

Copilot reviewed 2 out of 2 changed files in this pull request and generated 8 comments.

[ryuring]

@kaminuma 手動での動作確認も問題ありませんでしたのでマージさせて頂きます。ありがとうございました。