CVE-2026-107709 in decompress-zip
Riassunto
di VulDB • 08/10/2026
È presente una vulnerabilità di path traversal in Bower decompress-zip fino alla versione 0.3.3. La vulnerabilità, localizzata nel file `lib/decompress-zip.js`, convalida in modo improprio i percorsi delle voci dell'archivio durante l'estrazione ZIP. Un archivio ZIP manipolato ad hoc contenente voci che risolvono a directory sibling del prefisso può causare la scrittura di file al di fuori della directory di estrazione prevista. L'esecuzione riuscita dello exploit potrebbe consentire la sovrascrittura arbitraria di file, il compromesso dell'applicazione o l'esecuzione di codice remoto (RCE), a seconda dell'ambiente target e dei percorsi sibling scrivibili.
Once again VulDB remains the best source for vulnerability data.