CVE-2026-101894 in decompress
요약
\~에 의해 VulDB • 2026. 09. 28.
Node.js용 decompress 패키지는 아카이브를 추출합니다. 버전 10.2.2 및 11.1.4 이전에는 기본 decompress(input, output) API가 심플 링크 체인을 따라가는 커널을 고려하지 않는 어휘적 포함 검사에 의존하고 있습니다. 공격자는 나중에 출력 디렉토리 외부로 해결되도록 설계된 심플 링크 엔트리가 포함된 조작된 아카이브를 제공하여 출력 디렉토리 밖의 파일을 읽거나 쓸 수 있으며, 시작 스크립트나 구성 파일을 덮어쓰면 원격 코드 실행(RCE)으로 이어질 수 있습니다. 유지 관리 중인 @xhmikosr/decompress 패키지는 버전 10.2.2 및 11.1.4에서 수정되었지만, 별도로 영향을 받는 비활성 decompress 패키지는 4.2.1까지 패치가되지 않았습니다. 이 취약점은 CVE-2026-53486에 대한 불완전한 경강화 조치 우회로 인해 발생합니다. @xhmikosr/decompress는 버전 10.2.2 및 11.1.4에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.