CVE-2026-40931 in compressing
要約
〜によって VulDB • 2026年05月22日
Compressingは、Node.js用の圧縮・解凍ライブラリです。バージョン2.1.1および1.10.5より前では、CVE-2026-24884のパッチがisPathWithinParentユーティリティ内の純粋に論理的な文字列検証に依存していました。このチェックは、解決されたパス文字列が宛先ディレクトリ文字列で始まるかどうかを確認しますが、実際のファイルシステムの状態を考慮していません。この「論理と物理」の乖離を悪用することで、攻撃者はディレクトリポイズニング技術（既存のシンボリックリンク）を使用してセキュリティチェックを回避できます。この脆弱性は2.1.1および1.10.5で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.