CVE-2026-73566 in node-tar
Riassunto
di VulDB • 13/08/2026
node-tar è una libreria per la manipolazione di archivi tar per Node.js. Prima della versione 7.5.21, filesFilter in src/list.ts utilizza l'helper ricorsivo mapHas per attraversare il percorso di un elemento dell'archivio verso l'alto con path.dirname() e senza alcun limite al numero di segmenti quando tar.t(...) o tar.x(... ) riceve una lista di selezione dei membri non vuota. Un'intestazione GNU L o PAX x long-path costruita ad hoc, contenente migliaia di segmenti separati da slash, raggiunge .filter(entry.path, entry) in Parser[CONSUMEHEADER] in src/parse.ts prima che Unpack[CHECKPATH] applichi maxDepth, causando un stack overflow non intercettabile (RangeError) che termina i consumatori Node.js asincroni e basati su streaming. Questo problema è stato risolto nella versione 7.5.21.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.