CVE-2026-107709 in decompress-zip
الملخص
بحسب VulDB • 08/10/2026
توجد ثغرة في تنقل المسار (Path Traversal) في Bower decompress-zip حتى الإصدار 0.3.3. الثغرة الموجودة في `lib/decompress-zip.js` لا تقوم بالتحقق بشكل صحيح من مسارات عناصر الأرشيف أثناء استخراج ملفات ZIP. يمكن لأرشيف ZIP مُعدّ بعناية يحتوي على عناصر تحل إلى مجلدات شقيقة للسابق (prefix-sibling directories) أن يتسبب في كتابة الملفات خارج دليل الاستخراج المقصود. قد يسمح الاستغلال الناجح بكتابة عشوائية للملفات، أو اختراق التطبيق، أو تنفيذ الكود عن بُعد (RCE)، اعتمادًا على بيئة الهدف والمسارات الشدية القابلة للكتابة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.