CVE-2026-53486
Açıklama
Node.js için geliştirilen decompress paketi arşivleri ayıklar. 10.2.1 ve 11.1.3 sürümlerinden önce, arşiv ayıklama işlemi hedef dizinin dışında dosyalar ve bağlantılar oluşturabilir. Bir arşivi bir dizine ayıklarken; hardlink ve symlink girişlerinin hedeflerin nereye işaret ettiği kontrol edilmeden oluşturulması, yol kapsamasının dize ön eki karşılaştırması kullanması ve dosya modlarının setuid, setgid veya sticky bit'lerini kaldırmaması nedeniyle, özel olarak hazırlanmış bir arşiv bu dizinin dışındaki dosyaları okuyabilir veya yazabilir. Bu sorun @xhmikosr/decompress 10.2.1 ve 11.1.3 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- @xhmikosr/decompress10.2.1, 11.1.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @xhmikosr/decompressnpm | v < 10.2.1, 11.0.0 ≤ v < 11.1.3 | 10.2.1, 11.1.3 |
| decompressnpm | v ≤ 4.2.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.