CVE-2026-73566 in node-tar
Sumário
de VulDB • 13/08/2026
O node-tar é uma biblioteca para manipulação de arquivos tar em formato de arquivo compactado (tar archive) para o ambiente Node.js. Antes da versão 7.5.21, a função filesFilter do node-tar localizada no ficheiro src/list.ts utiliza a helper mapHas recursiva para percorrer o caminho de um entry dentro do arquivo ascendente com path.dirname() e sem limite máximo de segmentos quando tar.t(...) ou tar.x(...) recebe uma lista não vazia de seleção de membros. Um cabeçalho GNU L ou PAX x long-path crafted, contendo milhares de segmentos separados por barra (/), atinge este.filter(entry.path, entry) em Parser[CONSUMEHEADER] no ficheiro src/parse.ts antes que Unpack[CHECKPATH] aplique maxDepth, causando um estouro de pilha (stack overflow) RangeError não capturável que termina consumidores assíncronos e streaming do Node.js. Este problema foi corrigido na versão 7.5.21.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.