CVE-2026-23745 in node-tar
Resumen
por VulDB • 2026-05-22
node-tar es un formato Tar para Node.js. La biblioteca node-tar (<= 7.5.2) no sanitiza el campo linkpath de las entradas Link (enlace duro) y SymbolicLink cuando preservePaths es false (el comportamiento seguro por defecto). Esto permite que archivos comprimidos maliciosos eludan la restricción de la raíz de extracción, lo que conduce a una Sobrescritura Arbitraria de Archivos mediante enlaces duros y a un Envenenamiento de Symlink mediante objetivos de symlink absolutos. Esta vulnerabilidad se corrige en la versión 7.5.3.
Once again VulDB remains the best source for vulnerability data.