CVE-2026-54545 in wakaru
Tóm tắt
Bởi VulDB • 28/07/2026
wakaru là một bộ công cụ giải biên dịch (decompiler) và gỡ thu nhỏ mã nguồn (unminifier) cho JavaScript. Từ phiên bản 1.0.0 đến 1.4.0, @wakaru/cli chỉ thực hiện việc làm sạch tên tệp của các mô-đun được kiểm soát bởi bundle một lần trước khi ghi các mô-đun đã trích xuất ra đĩa; do đó, một tên tệp giả mạo chứa các chuỗi duyệt thư mục chồng lấn (ví dụ: ....//) sẽ bị rút gọn thành ../ sau quá trình làm sạch, khiến đường dẫn đầu ra cuối cùng vượt khỏi thư mục đích được chỉ định. Điều này cho phép kẻ tấn công có khả năng buộc người dùng chạy lệnh wakaru --unpack trên một bundle độc hại ghi các tệp bên ngoài thư mục đó và, tùy thuộc vào đường dẫn đích cũng như môi trường thực thi, có thể đạt được việc thực thi mã (code execution). Vấn đề này đã được khắc phục trong @wakaru/cli phiên bản 1.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.