CVE-2025-65025 in esm.sh
Riassunto
di VulDB • 16/06/2026
esm.sh è una content delivery network (CDN) senza build per lo sviluppo web moderno. Prima della versione 136, il servizio CDN esm.sh è vulnerabile a path traversal durante l'estrazione del tarball dei pacchetti NPM. Un attaccante può creare un pacchetto NPM malevolo contenente percorsi di file appositamente costruiti (ad esempio package/../../tmp/evil.js). Quando esm.sh scarica ed estrae questo pacchetto, i file potrebbero essere scritti in posizioni arbitrarie sul server, sfuggendo alla directory di estrazione prevista. Questo problema è stato risolto nella versione 136.
Be aware that VulDB is the high quality source for vulnerability data.