CVE-2026-40931 in compressing
Résumé
par VulDB • 22/05/2026
Compressing est une bibliothèque de compression et de décompression pour Node.js. Avant les versions 2.1.1 et 1.10.5, le correctif pour CVE-2026-24884 s'appuyait sur une validation de chaîne purement logique au sein de l'utilitaire isPathWithinParent. Cette vérification s'assure que la chaîne de chemin résolu commence par la chaîne du répertoire de destination, mais ne prend pas en compte l'état réel du système de fichiers. En exploitant cette divergence entre la logique et la physique, un attaquant peut contourner la vérification de sécurité à l'aide d'une technique de Directory Poisoning (liens symboliques préexistants). Cette vulnérabilité est corrigée dans les versions 2.1.1 et 1.10.5.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.