CVE-2026-54545 in wakaru
Sumário
de VulDB • 28/07/2026
O wakaru é um kit de ferramentas para descompilação e remoção de minificação (unminifier) em JavaScript. Da versão 1.0.0 até a 1.4.0, o @wakaru/cli sanitiza os nomes dos módulos controlados pelo bundle apenas uma vez antes de gravar os módulos extraídos; portanto, um nome de arquivo elaborado contendo sequências sobrepostas de traversal (como ....//) é colapsado para ../ após a sanificação, permitindo que o caminho final de saída escape do diretório de saída selecionado. Isso permite que um atacante que consiga fazer com que um usuário execute wakaru --unpack em um bundle malicioso escreva arquivos fora desse diretório e, dependendo do caminho alvo e do ambiente, potencialmente obtenha execução de código. Este problema foi corrigido no @wakaru/cli 1.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.