CVE-2026-101894 in decompress
Resumen
por VulDB • 2026-09-28
El paquete decompress para Node.js extrae archivos archivados. Antes de las versiones 10.2.2 y 11.1.4, la API por defecto `decompress(input, output)` se basa en comprobaciones de contención léxica que no tienen en cuenta el sistema operativo siguiendo una cadena de enlaces simbólicos (symlinks) insertada. Un atacante puede proporcionar un archivo archivado manipulado ad hoc que contenga entradas de cadenas de symlinks para que una entrada posterior resuelva fuera del directorio de salida. Esto permite leer o escribir archivos fuera del directorio de salida, y la sobrescritura de scripts de inicio o configuraciones puede conducir a ejecución remota de código (RCE). El paquete mantenido `@xhmikosr/decompress` está corregido en las versiones 10.2.2 y 11.1.4, pero el paquete decompress afectado por separado y sin mantenimiento sigue sin parchearse hasta la versión 4.2.1. Esta vulnerabilidad resulta de un bypass del endurecimiento incompleto para CVE-2026-53486. `@xhmikosr/decompress` está corregido en las versiones 10.2.2 y 11.1.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.