CVE-2026-39246
Açıklama
4.2.2 sürümü öncesindeki decompress, arşiv çıkarma sırasında rastgele sembolik bağlantı (symlink) oluşturulmasına izin verir. Sembolik bağlantı girişleri (type === 'symlink') işlenirken, arşivdeki x.linkname alanı herhangi bir doğrulama yapılmadan doğrudan fs.symlink() fonksiyonuna iletilir (index.js satır 121). 98. satırdaki preventWritingThroughSymlink kontrolü yalnızca dosya girişleri için geçerlidir, sembolik bağlantı oluşturma işlemi için geçerli değildir. Bir saldırgan, çıkarma dizininin dışındaki hassas dosyalara (örneğin, /etc/passwd) işaret eden sembolik bağlantı girişleri içeren özel bir arşiv hazırlayarak, uygulama çıkarılan içerikleri okuduğunda bilgi ifşasına yol açabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| decompress_project decompress | v ≤ 4.2.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.