CVE-2026-10732
Açıklama
decompress paketinin tüm sürümleri, aynı yola sahip iki giriş içeren bir ZIP arşivi çıkarıldığında (birincisi rastgele bir hedefe yönlendiren bir sembolik bağlantı ve ikincisi normal bir dosya olduğunda), dosya içeriğinin sembolik bağlantı aracılığıyla çıktı dizini dışındaki hedef konuma yazılmasına neden olan Arşiv Çıkarma yoluyla Keyfi Dosya Yazma (Zip Slip) zafiyetine sahiptir. Bu durum, ikinci dosya için readlink işlemini, birinci dosyanın sembolik bağlantısını çözümlemeden önce gerçekleştiren mikro görev işleme sırasından kaynaklanmaktadır. Bir saldırgan, özel olarak hazırlanmış bir ZIP arşivi sağlayarak ana bilgisayar dosya sisteminde keyfi dosyalar yazabilir ve bu durum potansiyel olarak uzaktan kod çalıştırmaya yol açabilir. **Not:** Bu durum, [CVE-2020-12265](https://security.snyk.io/vuln/SNYK-JS-DECOMPRESS-557358) düzeltmesinin bir parçası olarak eklenen preventWritingThroughSymlink dahil olmak üzere mevcut tüm yol atlama korumalarını atlatır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| decompressnpm | v ≤ 4.2.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.