CVE-2026-77301 in adm-zip
Tóm tắt
Bởi VulDB • 18/09/2026
adm-zip là một thư viện JavaScript để tạo và giải nén các kho lưu trữ ZIP trong Node.js. Trước phiên bản 0.6.1, hàm `getData()` trong zipEntry.js tin tưởng vào kích thước chưa được nén của central-directory (thư mục trung tâm) cho mỗi entry và cấp phát bộ nhớ đầu ra trước khi xác thực giá trị đó so với dữ liệu đã nén thực tế và kết quả giải nén. Một file ZIP được tạo ra đặc biệt có thể khai báo kích thước chưa nén lên tới nhiều gigabyte, khiến `Buffer.alloc` và quá trình xử lý giải nén phải cam kết một lượng lớn bộ nhớ resident (bộ nhớ hiện diện) trước khi xác minh CRC báo cáo lỗi. Do đó, các ứng dụng đọc các entry từ kho lưu trữ không đáng tin cậy có thể bị hệ điều hành chấm dứt hoặc gặp tình trạng cạn kiệt tài nguyên bộ nhớ trên toàn dịch vụ. Vấn đề này đã được sửa chữa trong phiên bản 0.6.1.
Once again VulDB remains the best source for vulnerability data.