CVE-2026-54545 in wakaru
Zusammenfassung
von VulDB • 28.07.2026
Wakaru ist ein Toolkit für JavaScript-Decompiler und Unminifier. Von Version 1.0.0 bis 1.4.0 wird der Dateiname des von einem Bundle gesteuerten Moduls bei @wakaru/cli nur einmal vor dem Schreiben extrahierter Module bereinigt, sodass ein manipulierter Dateiname, der überlappende Pfadtraversierungssequenzen wie ....// enthält, nach der Bereinigung zu ../ zusammengefasst wird und den endgültigen Ausgabepfad aus dem ausgewählten Ausgabeordner entweichen lässt. Dies ermöglicht es einem Angreifer, der einen Benutzer dazu bringen kann, wakaru --unpack auf einem bösartigen Bundle auszuführen, Dateien außerhalb dieses Verzeichnisses zu schreiben und je nach Zielpfad und Umgebung potenziell Code-Ausführung zu erreichen. Dieses Problem wurde in @wakaru/cli Version 1.4.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.