Към съдържанието
Търсене

CVE-2026-23745: isaacs node-tar, обхождане на път

8.2

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се локално, без особени условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

node-tar is a Tar for Node.js. The node-tar library (<= 7.5.2) fails to sanitize the linkpath of Link (hardlink) and SymbolicLink entries when preservePaths is false (the default secure behavior). This allows malicious archives to bypass the extraction root restriction, leading to Arbitrary File Overwrite via hardlinks and Symlink Poisoning via absolute symlink targets. This vulnerability is fixed in 7.5.3.

Засегнати продукти

  • isaacs node-tar: < 7.5.3
  • Red Hat: още 41 продукта, добавени от Red Hat

    Red Hat Enterprise Linux 10, Red Hat Enterprise Linux 9, Network Observability (NETOBSERV) 1.11.0, Red Hat Migration Toolkit 1.8, Red Hat OpenShift AI 2.25, Red Hat OpenShift AI 3.3, Red Hat OpenShift Dev Spaces 3.27, Red Hat Trusted Artifact Signer 1.2, Red Hat Trusted Artifact Signer 1.3, Confidential Compute Attestation, Cryostat 4, Logging Subsystem for Red Hat OpenShift, Multicluster Engine for Kubernetes, Node HealthCheck Operator, OpenShift Lightspeed, OpenShift Pipelines, OpenShift Serverless, Red Hat 3scale API Management Platform 2, Red Hat Advanced Cluster Management for Kubernetes 2, Red Hat AMQ Broker 7, Red Hat Ansible Automation Platform 2, Red Hat build of Apache Camel - HawtIO 4, Red Hat Connectivity Link 1, Red Hat Developer Hub, Red Hat Enterprise Linux 6, Red Hat Enterprise Linux 7, Red Hat Enterprise Linux 8, Red Hat Enterprise Linux AI (RHEL AI) 3, Red Hat Fuse 7, Red Hat Hardened Images, Red Hat JBoss Enterprise Application Platform 7, Red Hat JBoss Enterprise Application Platform 8, Red Hat JBoss Enterprise Application Platform Expansion Pack, Red Hat OpenShift AI (RHOAI), Red Hat OpenShift Container Platform 4, Red Hat Openshift Data Foundation 4, Red Hat OpenShift GitOps, Red Hat Process Automation 7, Red Hat Quay 3, Red Hat Satellite 6, Red Hat Single Sign-On 7

Вид слабост

История

  • 16 януари 2026 Публикувано

Други уязвимости в isaacs node-tar

Първоизточници

CVE-2026-23745: isaacs node-tar, обхождане на път | freedomonline.bg