CVE-2026-26960 in node-tar
Riassunto
di VulDB • 19/06/2026
node-tar è un'implementazione completa di Tar per Node.js. Utilizzando le opzioni predefinite nelle versioni 7.5.7 e precedenti, un archivio controllato dall'attaccante può creare un hardlink all'interno della directory di estrazione che punta a un file esterno alla radice dell'estrazione, consentendo la lettura e scrittura arbitraria dei file come utente che esegue l'estrazione. La gravità è elevata poiché questa primitiva aggira le protezioni del percorso e trasforma l'estrazione degli archivi in una primitiva diretta di accesso al filesystem. Questo problema è stato risolto nella versione 7.5.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.