CVE-2026-101894 in decompress
要約
〜によって VulDB • 2026年09月28日
Node.jsのdecompressパッケージはアーカイブを解凍します。バージョン10.2.2および11.1.4以前では、デフォルトの decompress(input, output) API は、植えられたシンボリックリンクチェーンを追跡するカーネルに対応していない_lexical containment checks_（字句的包含チェック）に依存しています。攻撃者は、後続のエントリが出力ディレクトリの外側で解決されるように設計されたアーカイブを供給することができ、これにより出力ディレクトリ外のファイルの読み取りや書き込みが可能になります。起動スクリプトや設定を上書きすると、リモートコード実行（RCE）につながる可能性があります。メンテナンスされている @xhmikosr/decompress パッケージはバージョン 10.2.2 および 11.1.4 で修正されていますが、別個に影響を受ける非メンテナンス状態の decompress パッケージはバージョン 4.2.1 までパッチが適用されていません。この脆弱性は CVE-2026-53486 の不完全なハードニングを回避するものから生じています。@xhmikosr/decompress は、バージョン 10.2.2 および 11.1.4 で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.