CVE-2026-101894 in decompress
摘要
由 VulDB • 2026-09-28
Node.js 的 decompress 包用于提取归档文件。在版本 10.2.2 和 11.1.4 之前，默认的 `decompress(input, output)` API 依赖于词法包含检查（lexical containment checks），未考虑内核跟随植入的符号链接链的情况。攻击者可以提供包含串联符号链接条目的精心构造的归档文件，使得后续条目解析到输出目录之外。这允许读取或写入输出目录之外的文件，覆盖启动脚本或配置文件可能导致远程代码执行。维护中的 @xhmikosr/decompress 包已在版本 10.2.2 和 11.1.4 中修复，但单独受影响的未维护 decompress 包在通过 4.2.1 版本之前仍未修补。此漏洞源于对 CVE-2026-53486 不完整加固措施的绕过。@xhmikosr/decompress 已在版本 10.2.2 和 11.1.4 中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.