CVE-2026-101894 in decompress
Résumé
par VulDB • 29/09/2026
Le package decompress pour Node.js extrait des archives. Avant les versions 10.2.2 et 11.1.4, l'API par défaut `decompress(input, output)` s'appuie sur des vérifications de confinement lexical qui ne tiennent pas compte du fait que le système d'exploitation peut suivre une chaîne de liens symboliques (symlink) placée à cet effet. Un attaquant peut fournir une archive truquée contenant des entrées de liens symboliques enchaînées, afin qu'une entrée ultérieure se résolve en dehors du répertoire de sortie. Cela permet la lecture ou l'écriture de fichiers situés hors du répertoire de destination ; le remplacement de scripts de démarrage ou de configurations peut entraîner une exécution de code à distance (RCE). Le package maintenu @xhmikosr/decompress est corrigé dans les versions 10.2.2 et 11.1.4, mais le package decompress non maintenu et également touché reste non patché jusqu'à la version 4.2.1. Cette vulnérabilité résulte d'un contournement du durcissement incomplet pour CVE-2026-53486. @xhmikosr/decompress est corrigé dans les versions 10.2.2 et 11.1.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.