CVE-2026-101894
Təsvir
Node.js üçün decompress paketi arxivləri çıxarır. 10.2.2 və 11.1.4 versiyalarından əvvəl, standart decompress(input, output) API-si, nüvənin yerləşdirilmiş simvolik link (symlink) zəncirini izlədiyini nəzərə almayan leksikal ehtiva yoxlamalarına əsaslanır. Hücumçu, sonrakı girişin çıxış kataloqundan kənara yönləndirilməsi üçün zəncirlənmiş simvolik link girişləri olan xüsusi hazırlanmış arxiv təqdim edə bilər. Bu, çıxış kataloqundan kənardakı faylların oxunmasına və ya yazılmasına imkan verir və start skriptlərinin və ya konfiqurasiyanın üzərinə yazılma uzaqdan kodun icrasına səbəb ola bilər. Dəstəklənən @xhmikosr/decompress paketi 10.2.2 və 11.1.4 versiyalarında düzəldilib, lakin ayrıca təsirlənən və dəstəklənməyən decompress paketi 4.2.1 versiyadək yamalanmamış qalır. Bu zəiflik CVE-2026-53486 üçün tətbiq edilmiş natamam təhlükəsizliyin artırılmasının yan keçilməsi nəticəsində yaranmışdır. @xhmikosr/decompress 10.2.2 və 11.1.4 versiyalarında düzəldilib.
Necə düzəltmək olar
- @xhmikosr/decompress11.1.4, 10.2.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @xhmikosr/decompressnpm | 11.0.0 ≤ v < 11.1.4, v < 10.2.2 | 11.1.4, 10.2.2 |
| decompressnpm | v ≤ 4.2.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.