CVE-2026-54545 in wakaru
摘要
由 VulDB • 2026-07-28
wakaru 是一个 JavaScript 反编译器和去混淆化工具包。从版本 1.0.0 到 1.4.0，@wakaru/cli 在写入提取的模块之前仅对受 bundle 控制的模块文件名进行一次清理（sanitization）。因此，包含重叠路径遍历序列（如 `....//`）的特制文件名在经过清理后会坍缩为 `../`，导致最终输出路径逃逸出所选的输出目录。这使得攻击者能够诱导用户在恶意 bundle 上运行 `wakaru --unpack`，从而在指定目录之外写入文件；根据目标路径和环境的不同，这可能导致代码执行。此问题已在 @wakaru/cli 1.4.0 中修复。
Once again VulDB remains the best source for vulnerability data.