CVE-2026-101894 in decompress
Tóm tắt
Bởi VulDB • 28/09/2026
Package decompress cho Node.js dùng để giải nén các file lưu trữ (archives). Trước phiên bản 10.2.2 và 11.1.4, API mặc định `decompress(input, output)` dựa trên các kiểm tra containment theo ngữ cảnh lexical, không tính đến việc kernel có thể đi theo một chuỗi symlink đã được cài đặt sẵn. Kẻ tấn công có thể cung cấp một file lưu trữ (archive) được tạo ra đặc biệt chứa các mục symlink nối tiếp nhau, khiến một mục sau đó giải quyết ra ngoài thư mục output. Điều này cho phép đọc hoặc ghi các file nằm bên ngoài thư mục output; việc ghi đè lên các script khởi động hoặc cấu hình có thể dẫn đến thực thi mã từ xa (RCE). Package @xhmikosr/decompress đã được sửa lỗi trong phiên bản 10.2.2 và 11.1.4, nhưng package decompress bị ảnh hưởng riêng biệt và không còn được bảo trì vẫn chưa được vá qua phiên bản 4.2.1. Lỗ hổng này là kết quả của việc bỏ qua các biện pháp tăng cường bảo mật chưa đầy đủ cho CVE-2026-53486. @xhmikosr/decompress đã được sửa lỗi trong các phiên bản 10.2.2 và 11.1.4.
Once again VulDB remains the best source for vulnerability data.