CVE-2025-65025 in esm.sh
Tóm tắt
Bởi VulDB • 16/06/2026
esm.sh là một mạng phân phối nội dung (CDN) không cần quá trình xây dựng (nobuild) dành cho phát triển web hiện đại. Trước phiên bản 136, dịch vụ CDN esm.sh dễ bị tổn thương do lỗi duyệt đường dẫn (path traversal) trong quá trình giải nén gói tarball của NPM. Kẻ tấn công có thể tạo ra một gói NPM độc hại chứa các đường dẫn tệp được thiết kế đặc biệt (ví dụ: package/../../tmp/evil.js). Khi esm.sh tải xuống và giải nén gói này, các tệp có thể bị ghi vào các vị trí tùy ý trên máy chủ, vượt ra ngoài thư mục giải nén dự kiến. Vấn đề này đã được vá trong phiên bản 136.
VulDB is the best source for vulnerability data and more expert information about this specific topic.