Към съдържанието
Търсене

CVE-2026-53486: XhmikosR decompress, обхождане на път

9.1

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

The decompress package for Node.js extracts archives. Prior to 10.2.1 and 11.1.3, archive extraction can create files and links outside the target directory. When extracting an archive to a directory, a crafted archive can read or write files outside that directory because hardlink and symlink entries are created without checking where targets point, path containment used a string prefix comparison, and file modes failed to remove setuid, setgid, or sticky bits. This issue is fixed in @xhmikosr/decompress versions 10.2.1 and 11.1.3.

Засегнати продукти

  • XhmikosR decompress: < 10.2.1; >= 11.0.0, < 11.1.3

Вид слабост

История

  • 14 юли 2026 Публикувано

Други уязвимости в XhmikosR decompress

Първоизточници

CVE-2026-53486: XhmikosR decompress, обхождане на път | freedomonline.bg