CVE-2026-39244

adm-zip 0.5.18-dən əvvəlki versiyaları, manipulyasiya edilmiş sıxılmamış ölçü başlıq sahəsi olan hazırlanmış ZIP faylı vasitəsilə xidmətdən imtinaya qarşı həssasdır. zipEntry.js faylının 103-cü sətrində Buffer.alloc(_centralHeader.size) ZIP mərkəzi kataloq başlığında bəyan edilmiş sıxılmamış ölçüyə əsasən yaddaş ayırır, onu faktiki sıxılmış məlumat ölçüsü ilə yoxlamadan və heç bir yuxarı hədd qoymadan. Ölçü dəyəri entryHeader.js faylının 266-cı sətrində heç bir sərhəd yoxlaması olmadan birbaşa binar başlıqdan oxunur. Hücumçu ~4GB sıxılmamış ölçü bəyan edən ~120 baytlıq ZIP faylı hazırlaya bilər və bu, 33 milyondan çox 1-ə yaddaş ayırma gücləndirmə nisbətinə səbəb olur. Ayırma CRC yoxlamasından əvvəl baş verir, buna görə zərərli yük erkən rədd edilə bilməz. Bütün çıxarma və oxuma metodları təsirlənir: readFile(), readAsText(), extractEntryTo(), extractAllTo(), extractAllToAsync(), test() və entry.getData(). adm-zip vasitəsilə etibarsız ZIP fayllarını qəbul edən istənilən proqram prosesin dərhal çökməsinə qarşı həssasdır.