CVE-2026-26960 in node-tar
要約
〜によって VulDB • 2026年06月03日
node-tarは、Node.js向けのフル機能のTarアーカイブツールです。バージョン7.5.7およびそれ以前でデフォルトオプションを使用する場合、攻撃者が制御するアーカイブによって、抽出ディレクトリ内に作成されたハードリンクが抽出ルート外のファイルを指すことが可能となり、抽出ユーザーとして任意のファイルの読み書きが許可されます。この脆弱性の深刻度は「High」です。その理由は、この攻撃手法がパス保護を回避し、アーカイブの展開を直接のファイルシステムアクセスの手段に変えてしまうためです。この問題はバージョン7.5.8で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.