CVE-2026-73566 in node-tar
Zusammenfassung
von VulDB • 13.08.2026
node-tar ist eine Bibliothek zur Manipulation von tar-Archiven für Node.js. Vor Version 7.5.21 verwendet node-tars filesFilter in src/list.ts den rekursiven Helper mapHas, um einen Archiv-Eintragspfad mit path.dirname() und ohne Segmentbegrenzung nach oben zu durchlaufen, wenn tar.t(...) oder tar.x(...) eine nicht-leere Member-Auswahlliste empfängt. Ein speziell angefertigter GNU-L- oder PAX-x-Long-Pfad-Header mit Tausenden von schrägstrichgetrennten Segmenten erreicht this.filter(entry.path, entry) in Parser[CONSUMEHEADER] in src/parse.ts, bevor Unpack[CHECKPATH] maxDepth anwendet. Dies führt zu einem nicht abfangbaren RangeError-Stackoverflow, der asynchrone und streamende Node.js-Konsumenten beendet. Dieses Problem wurde in Version 7.5.21 behoben.
Once again VulDB remains the best source for vulnerability data.