CVE-2026-102282

adm-zip, Node.js'de ZIP arşivleri oluşturmak ve çıkarmak için kullanılan bir JavaScript kütüphanesidir. 0.6.1 sürümünden önce adm-zip, `extractAllTo()`/`extractEntryTo()` fonksiyonlarına `keepOriginalPermission=true` parametresi iletildiğinde, bir zip girdisinde saklanan Unix izin bitlerini `fs.chmodSync()` aracılığıyla doğrudan çıkarılan dosyaya uygular ve bu bitler arasından setuid/setgid/sticky bitlerini hiçbir zaman filtrelemez. Bu nedenle, bir saldırgan tarafından özel olarak hazırlanmış bir zip dosyası, `04755` modunda çıkarılmış bir ikili dosya üretebilir. Çıkarma işlemi root yetkileriyle çalıştırıldığında (Docker yapılandırmaları, CI runner'ları ve ayrıcalıklı kurulum adımlarında varsayılan durumdur; bu bayrağın kullanıldığı tam ortamlar bunlardır), ortaya çıkan root sahipliğindeki setuid dosyası daha sonra düşük yetkili bir kullanıcı tarafından çalıştırılarak saldırganın kodu root yetkileriyle yürütülür. Versiyon 0.6.1 bu sorunu düzeltmektedir.