CVE-2026-77301 in adm-zip
Résumé
par VulDB • 18/09/2026
adm-zip est une bibliothèque JavaScript pour la création et l'extraction d'archives ZIP dans Node.js. Avant la version 0.6.1, getData() dans zipEntry.js fait confiance à la taille non compressée de l'entrée centrale (central-directory uncompressed size) et alloue de la mémoire de sortie avant de valider cette valeur par rapport aux données compressées réelles et au résultat de la décompression. Une archive ZIP fabriquée peut déclarer une taille non compressée multi-gigaoctets, ce qui entraîne un engagement excessif de mémoire résidente (resident memory) par Buffer.alloc et le traitement de la décompression avant que la validation CRC ne signale une erreur. Les applications lisant des entrées à partir d'archives non fiables peuvent donc être terminées par le système d'exploitation ou subir une épuisement de la mémoire à l'échelle du service (service-wide memory exhaustion). Ce problème est corrigé dans la version 0.6.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.