CVE-2026-77301 in adm-zip
요약
\~에 의해 VulDB • 2026. 09. 18.
adm-zip은 Node.js에서 ZIP 아카이브를 생성하고 추출하기 위한 JavaScript 라이브러리입니다. 버전 0.6.1 이전의 zipEntry.js에 있는 getData() 메서드는 중앙 디렉토리의 압축 해제된 크기를 신뢰하며, 해당 값을 실제 압축 데이터 및 압축 해제 결과와 대조하여 검증하기 전에 출력 메모리를 할당합니다. 작은 크기지만 조작된 ZIP 파일이 수 기가바이트 단위의 큰 압축 해제 크기를 선언하면, CRC 검사가 오류를 보고하기 전에 Buffer.alloc과 압축 해제 처리 과정에서 과도한 resident memory(상주 메모리)가 소모됩니다. 따라서 신뢰할 수 없는 아카이브에서 엔트리를 읽는 애플리케이션은 운영체제에 의해 종료되거나 서비스 전체의 메모리 고갈을 겪을 수 있습니다. 이 문제는 버전 0.6.1에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.