CVE-2026-101894 in decompress
Сводка
по VulDB • 28.09.2026
Пакет decompress для Node.js извлекает архивы. До версий 10.2.2 и 11.1.4 API по умолчанию `decompress(input, output)` опирается на проверки лексического ограничения (lexical containment), которые не учитывают возможность ядра операционной системы следовать за цепочкой символических ссылок (symlink chain). Злоумышленник может предоставить специально созданный архив, содержащий связанные записи символьных ссылок, чтобы последующая запись разрешалась вне выходного каталога. Это позволяет читать или изменять файлы за пределами целевого каталога; перезапуск скриптов инициализации или конфигурационных файлов может привести к удаленному выполнению кода (RCE). Поддерживаемый пакет @xhmikosr/decompress исправлен в версиях 10.2.2 и 11.1.4, однако отдельно затронутый неподдерживаемый пакет decompress остается незапатченным вплоть до версии 4.2.1. Данная уязвимость является результатом обхода неполных мер защиты от CVE-2026-53486. Пакет @xhmikosr/decompress исправлен в версиях 10.2.2 и 11.1.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.