CVE-2026-53655

node-tar Node.js üçün tam funksionallıqlı Tar-dır. 7.5.16 versiyasından əvvəl tar (node-tar) PAX genişləndirilmiş başlığının size= qeydini (və digər PAX üstünlüklərini) hər hansı tipli növbəti başlıq elementinə, o cümlədən GNU uzun ad (L) və ya uzun keçid (K) elementləri kimi aralıq metadata başlıqlarına tətbiq edir. POSIX pax-a görə, PAX genişləndirilmiş başlığı (x) növbəti fayl elementini təsvir edir, x başlığı ilə onun annotasiya etdiyi fayl arasında yerləşə bilən aralıq genişləndirmə başlıqlarını deyil. node-tar PAX size-ın aralıq L/K/x başlığının bayt uzunluğunu üstələməsinə imkan verdiyi üçün hücumçu node-tar-ın axın kursorunu bütün digər əsas tar implementasiyalarına (GNU tar, libarchive/bsdtar, Python tarfile və artıq düzəldilmiş tar-rs / astral-tokio-tar) nisbətən desinxronizasiya edə bilər. Nəticə tar parserinin interpretasiya fərqidir (CWE-436): bir hazırlanmış arxiv node-tar altında istinad tar alətləri altındakından fərqli elementlər dəsti verir. Hücumçu bundan bir parserdən elementi gizlətmək üçün istifadə edə bilər, halbuki həmin element digəri üçün görünən olur ki, bu da skaneri və çıxarıcısı arxiv məzmunu barədə razılaşmayan təhlükəsizlik alətlərini sıradan çıxarır (məs. elementləri bir kitabxana ilə siyahıya alan, aşağı axın addımı isə digəri ilə çıxaran zərərli proqram/gizli məlumat skaneri). Bu zəiflik 7.5.16 versiyasında düzəldilmişdir.