CVE-2026-53486
Təsvir
Node.js üçün decompress paketi arxivləri çıxarır. 10.2.1 və 11.1.3 versiyalarından əvvəl arxivin çıxarılması hədəf qovluqdan kənarda fayl və keçidlər yarada bilər. Arxivi qovluğa çıxararkən hazırlanmış arxiv həmin qovluqdan kənarda faylları oxuya və ya yaza bilər, çünki hardlink və symlink qeydləri hədəflərin hara işarə etdiyini yoxlamadan yaradılır, yolun qovluq daxilində olması yoxlaması sətir prefiksi müqayisəsindən istifadə edirdi və fayl rejimləri setuid, setgid və ya sticky bitlərini silmirdi. Bu problem @xhmikosr/decompress paketinin 10.2.1 və 11.1.3 versiyalarında düzəldilib.
Necə düzəltmək olar
- @xhmikosr/decompress10.2.1, 11.1.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @xhmikosr/decompressnpm | v < 10.2.1, 11.0.0 ≤ v < 11.1.3 | 10.2.1, 11.1.3 |
| decompressnpm | v ≤ 4.2.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.