CVE-2026-54545 in wakaru
要約
〜によって VulDB • 2026年07月28日
wakaruは、JavaScriptのデコンパイラおよびミニファイ解除ツールキットです。バージョン1.0.0から1.4.0までの@wakaru/cliでは、抽出されたモジュールを書き込む前にバンドル制御付きモジュール名を一度だけサニタイズするため、....//のような重複するパストラバーサルシーケンスを含む悪意のあるファイル名は、サニタイズ後に../に縮小され、最終的な出力パスが選択した出力ディレクトリから脱出します。これにより、攻撃者はユーザーに対して悪意あるバンドルでwakaru --unpackを実行させることでそのディレクトリの外側にファイルを書き込むことができ、ターゲットのパスや環境によってはコード実行を達成する可能性があります。この問題は@wakaru/cli 1.4.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.