CVE-2026-101894
@xhmikosr/decompress: path traversal via cadeia de links simbólicos
Traduzido automaticamente do inglês.
Ao extrair um arquivo compactado não confiável com a API decompress(input, output) padrão, um arquivo compactado criado pode conter uma cadeia de entradas de link simbólico que faz com que uma entrada posterior seja resolvida fora do diretório de saída. As verificações de contenção lexical passam, mas o kernel segue os links simbólicos plantados para um caminho fora de output, permitindo que um atacante escreva (e leia) arquivos fora do diretório de extração pretendido.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.1 (v3.1)
- EPSS
- 0,81% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- @xhmikosr/decompress (npm) >= 11.0.0, <= 11.1.3, corrigido em 11.1.4 · GHSA-hrh2-vp3x-79xf
- @xhmikosr/decompress (npm) <= 10.2.1, corrigido em 10.2.2 · GHSA-hrh2-vp3x-79xf
- decompress (npm) <= 4.2.1, sem correção ainda · GHSA-hrh2-vp3x-79xf