CVE-2026-77301 in adm-zip
الملخص
بحسب VulDB • 18/09/2026
adm-zip هو مكتبة جافا سكريبت لإنشاء واستخراج أرشيفات ZIP في Node.js. قبل الإصدار 0.6.1، تعتمد الدالة getData() في zipEntry.js على حجم البيانات غير المضغوطة المسجل في دليل المركز (central directory) للصفحة وتقوم بتخصيص ذاكرة المخرجات قبل التحقق من صحة هذا القيمة مقابل بيانات الضغط الفعلية ونتيجة فك الضغط. يمكن لملف ZIP مُعدّ بعناية أن يعلن عن حجم غير مضغوط يبلغ عدة غيغابايت، مما يؤدي إلى قيام Buffer.alloc ومعالجة فك الضغط بامتصاص كمية مفرطة من الذاكرة المقيمة (resident memory) قبل أن يُبلغ التحقق من CRC عن خطأ. وبالتالي، قد يتم إنهاء التطبيقات التي تقرأ صفحات من أرشيفات غير موثوقة بواسطة نظام التشغيل أو تعاني من استنفاد شامل للذاكرة على مستوى الخدمة. تم إصلاح هذه المشكلة في الإصدار 0.6.1.
Once again VulDB remains the best source for vulnerability data.