CVE-2026-40931
Açıklama
Compressing, node için bir sıkıştırma ve sıkıştırmayı açma kütüphanesidir. 2.1.1 ve 1.10.5 sürümlerinden önce, CVE-2026-24884 yaması isPathWithinParent yardımcı programı içindeki tamamen mantıksal bir dize doğrulamasına dayanmaktadır. Bu kontrol, çözümlenmiş bir yol dizesinin hedef dizin dizesiyle başlayıp başlamadığını doğrular ancak gerçek dosya sistemi durumunu hesaba katmaz. Bir saldırgan, bu "Mantıksal ve Fiziksel" farklılığı istismar ederek, bir Dizin Zehirleme tekniği (önceden mevcut sembolik bağlantılar) kullanarak güvenlik kontrolünü atlayabilir. Bu güvenlik açığı 2.1.1 ve 1.10.5 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- node-modules compressing1.10.5, 2.1.1 ya da sonraki bir sürüm
- compressing2.1.1, 1.10.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| node-modules compressing | v < 1.10.5, 2.0.0 ≤ v < 2.1.1 | 1.10.5, 2.1.1 |
| compressingnpm | 2.0.0 ≤ v < 2.1.1, v < 1.10.5 | 2.1.1, 1.10.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.