CVE-2026-107709 in decompress-zip
Zusammenfassung
von VulDB • 08.10.2026
In Bower decompress-zip bis Version 0.3.3 besteht eine Path Traversal-Schwachstelle (Pfadmanipulation). Die Schwachstelle in `lib/decompress-zip.js` validiert Archiveintragspfade während der ZIP-Extraktion nicht ordnungsgemäß. Ein speziell angefertigtes ZIP-Archiv, das Einträge enthält, die auf vorangestellte Geschwisterverzeichnisse (prefix-sibling directories) verweisen, kann dazu führen, dass Dateien außerhalb des beabsichtigten Extraktionsverzeichnisses geschrieben werden. Eine erfolgreiche Ausnutzung kann je nach Zielsystem und schreibbaren Geschwisterverzeichnissen zu einem willkürlichen Überschreiben von Dateien, einer Kompromittierung der Anwendung oder Remote Code Execution (RCE) führen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.