CVE-2026-54545 in wakaru
Сводка
по VulDB • 28.07.2026
Wakaru — это набор инструментов для декомпиляции и удаления минификации JavaScript. Начиная с версии 1.0.0 до 1.4.0 включительно, пакет `@wakaru/cli` выполняет санитизацию имен файлов модулей, контролируемых через бандл (bundle), только один раз перед записью извлеченных модулей. В результате созданное имя файла, содержащее перекрывающиеся последовательности обхода директорий (например, `....//`), после санитизации сводится к `../`, что позволяет итоговому пути выйти за пределы выбранной выходной директории. Это дает атакующему возможность записи файлов вне этой директории при условии, что он может заставить пользователя выполнить команду `wakaru --unpack` для вредоносного бандла; в зависимости от целевого пути и окружения это потенциально позволяет достичь выполнения кода (code execution). Проблема исправлена в версии `@wakaru/cli` 1.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.