独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月11日、LhazおよびLhaz+におけるパストラバーサルの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。GMO Flatt Security株式会社のRyotaK氏、矢野礼伊氏が報告を行っている。影響を受けるシステムは以下の通り。
Lhaz 2.6.3 およびそれ以前のバージョン
Lhaz+ 3.6.3 およびそれ以前のバージョン
ちとらソフトが提供するLhazおよびLhaz+には、パストラバーサルの脆弱性（CVE-2026-41530）が存在し、フォルダ自動生成機能を有効にした状態で、細工されたファイル名の書庫ファイルを展開すると、想定外のフォルダに展開される可能性がある。
JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。なお本脆弱性は、下記のバージョンで修正されている。
Lhaz バージョン 2.6.4
Lhaz+ バージョン 3.6.4
