CVE-2026-101894
Açıklama
Node.js için geliştirilen decompress paketi arşivleri ayıklar. 10.2.2 ve 11.1.4 sürümlerinden önce, varsayılan decompress(input, output) API'si, çekirdeğin yerleştirilmiş bir sembolik bağlantı (symlink) zincirini takip etmesini hesaba katmayan sözcük dizimsel kapsama kontrollerine dayanmaktadır. Bir saldırgan, daha sonraki bir girdinin çıktı dizininin dışına çözümlenmesini sağlayacak şekilde zincirlenmiş sembolik bağlantı girişleri içeren özel olarak hazırlanmış bir arşiv sunabilir. Bu durum, çıktı dizininin dışındaki dosyaların okunmasına veya yazılmasına olanak tanır; başlangıç betiklerinin veya yapılandırmanın üzerine yazılması ise uzaktan kod çalıştırmaya yol açabilir. Bakımı yapılan @xhmikosr/decompress paketi 10.2.2 ve 11.1.4 sürümlerinde düzeltilmiştir, ancak ayrı olarak etkilenen ve bakımı yapılmayan decompress paketi 4.2.1 sürümüne kadar yamalanmamış durumdadır. Bu güvenlik açığı, CVE-2026-53486 için uygulanan eksik sıkılaştırmanın atlatılmasından kaynaklanmaktadır. @xhmikosr/decompress, 10.2.2 ve 11.1.4 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- @xhmikosr/decompress11.1.4, 10.2.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @xhmikosr/decompressnpm | 11.0.0 ≤ v < 11.1.4, v < 10.2.2 | 11.1.4, 10.2.2 |
| decompressnpm | v ≤ 4.2.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.