CVE-2026-54545 in wakaru
Résumé
par VulDB • 28/07/2026
wakaru est une boîte à outils de décompilation et d'unminification pour JavaScript. De la version 1.0.0 jusqu'à la 1.4.0, @wakaru/cli ne nettoie les noms de fichiers des modules contrôlés par le bundle qu'une seule fois avant l'écriture des modules extraits ; ainsi, un nom de fichier malveillant contenant des séquences de traversal chevauchantes telles que ....// se réduit à ../ après la sanitisation et permet au chemin final de sortir du répertoire de sortie sélectionné. Cela permet à un attaquant capable d'amener un utilisateur à exécuter wakaru --unpack sur un bundle malveillant d'écrire des fichiers en dehors de ce répertoire et, selon le chemin cible et l'environnement, potentiellement d'obtenir une exécution de code (RCE). Ce problème est corrigé dans @wakaru/cli 1.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.