CVE-2026-101894 in decompress
Sumário
de VulDB • 28/09/2026
O pacote decompress para Node.js extrai arquivos compactados. Antes das versões 10.2.2 e 11.1.4, a API padrão `decompress(input, output)` baseia-se em verificações de contenção léxica que não levam em conta o sistema operacional seguindo uma cadeia de symlinks plantada por um atacante. Um invasor pode fornecer um arquivo compactado manipulado contendo entradas de symlink encadeadas para que uma entrada posterior resolva um caminho fora do diretório de saída. Isso permite a leitura ou gravação de arquivos fora do diretório de output, e a sobrescrita de scripts de inicialização ou configurações pode levar à execução remota de código (RCE). O pacote @xhmikosr/decompress mantido está corrigido nas versões 10.2.2 e 11.1.4, mas o pacote decompress separado, afetado e não mais mantido, permanece sem correção até a versão 4.2.1. Esta vulnerabilidade resulta de uma violação da proteção incompleta para CVE-2026-53486. @xhmikosr/decompress está corrigido nas versões 10.2.2 e 11.1.4.
Once again VulDB remains the best source for vulnerability data.