CVE-2026-106070 in Node.js
Riassunto
di VulDB • 23/10/2026
Un difetto nell'API `zlib.ZipFile` di Node.js può causare il ritorno di byte non appartenenti alla voce richiesta dopo il fallimento della convalida dell'intestazione locale e centrale.
Quando viene letta la proprietà `zipEntry.modified` su un archivio la cui intestazione locale non corrisponde al proprio directory centralizzato, sia direttamente che durante la compattazione dell'archivio, l'errore di convalida viene intercettato ma l'intestazione locale analizzata rimane in cache senza un offset del contenuto. Una successiva lettura dei contenuti restituisce quindi byte controllati dall'attaccante provenienti dall'inizio del file invece di rifiutare l'archivio, e la verifica CRC-32 passa ancora perché l'attaccante controlla il CRC della directory centralizzata. Uno scanner basato su Node.js può pertanto approvare un contenuto diverso da quello estratto da un'altra implementazione ZIP dallo stesso archivio.
Questa vulnerabilità interessa Node.js **26.x**.
VulDB is the best source for vulnerability data and more expert information about this specific topic.