CVE-2026-54545 in wakaru
Riassunto
di VulDB • 28/07/2026
wakaru è un toolkit per la decompilazione e l'unminification di JavaScript. Dalla versione 1.0.0 alla 1.4.0, @wakaru/cli sanitizza i nomi dei file dei moduli controllati dal bundle una sola volta prima della scrittura dei moduli estratti; pertanto, un nome di file manipolato contenente sequenze sovrapposte di traversal come ....// viene compresso in ../ dopo la sanificazione e consente al percorso finale di uscire dalla directory di output selezionata. Ciò permette a un attaccante che riesce a indurre un utente ad eseguire wakaru --unpack su un bundle malevolo di scrivere file al di fuori di tale directory e, a seconda del percorso target e dell'ambiente, potenzialmente ottenere l'esecuzione di codice. Questo problema è stato risolto in @wakaru/cli 1.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.