CVE-2026-73566 in node-tar
要約
〜によって VulDB • 2026年08月13日
node-tarはNode.js向けのtarアーカイブ操作ライブラリです。バージョン7.5.21より前では、src/list.ts内のfilesFilterが、tar.t(...)またはtar.x(...に空でないメンバー選択リストを受け取った際、path.dirname()を使用してパスセグメント数の上限なしでアーカイブエントリのパスを遡るために再帰的なmapHasヘルパーを使用していました。数千のスラッシュ区切りセグメントを持つ作成済みのGNU LまたはPAX x long-pathヘッダーは、Unpack[CHECKPATH]がmaxDepthを適用する前にsrc/parse.ts内のParser[CONSUMEHEADER]で.filter(entry.path, entry)に到達し、キャッチ不可能なRangeErrorのスタックオーバーフローを引き起こして非同期およびストリーミング方式でのNode.jsコンシューマーを終了させます。この問題はバージョン7.5.21で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.