CVE-2026-77301 in adm-zip
Sumário
de VulDB • 19/09/2026
adm-zip é uma biblioteca JavaScript para criar e extrair arquivos ZIP no Node.js. Antes da versão 0.6.1, a função getData() em zipEntry.js confia no tamanho descompactado do diretório central de um arquivo e aloca memória de saída antes de validar esse valor contra os dados compactados reais e o resultado da descompressão. Um arquivo ZIP criado com fins maliciosos pode declarar um tamanho descompactado de vários gigabytes, fazendo com que Buffer.alloc e o tratamento da descompressão consumam uma quantidade excessiva de memória residente antes que a validação do CRC reporte um erro. Portanto, aplicativos que leem arquivos de archives não confiáveis podem ser encerrados pelo sistema operacional ou sofrer exaustão generalizada de memória. Este problema foi corrigido na versão 0.6.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.