CVE-2026-102282

adm-zip, Node.js-də ZIP arxivlərinin yaradılması və çıxarılması üçün istifadə olunan bir JavaScript kitabxanasıdır. 0.6.1 versiyasından əvvəl, `extractAllTo()`/`extractEntryTo()` funksiyalarına `keepOriginalPermission=true` arqumenti ötürüldükdə, adm-zip zip girişində saxlanılan Unix icazə bitlərini `fs.chmodSync()` vasitəsilə birbaşa çıxarılan fayla tətbiq edir və bu bitlərdən setuid/setgid/sticky bitlərini heç vaxt filtrləmir. Buna görə də hücumçu tərəfindən hazırlanmış zip faylı `04755` rejiminə malik çıxarılmış binar fayl yarada bilər. Çıxarma prosesi root kimi icra edildikdə (Docker build-ləri, CI runner-ləri və imtiyazlı quraşdırma mərhələlərində standart vəziyyətdir — bu bayrağın istifadə edildiyi dəqiq mühitlər), nəticədə yaranan root-a məxsus setuid faylı daha sonra az imtiyazlı istifadəçi tərəfindən icra edilir və bu da hücumçunun kodunu root səviyyəsində icraya çevirir. Versiya 0.6.1 bu problemi aradan qaldırır.