CVE-2025-64118
ŚrednieStreszczenie
W wersji 7.5.1 biblioteki node-tar, użycie opcji .t (znanej jako .list) z { sync: true } do odczytu zawartości wpisów tar zwraca niezainicjowane dane pamięci, jeśli plik tar został zmieniony na dysku na mniejszy rozmiar podczas odczytu. Ta podatność została naprawiona w wersji 7.5.2.
Ocena ryzyka
Organizacje mogą być narażone na wyciek danych lub nieprzewidywalne zachowanie aplikacji, gdy odczytywane są nieprawidłowe dane z pamięci. Może to prowadzić do poważnych problemów z bezpieczeństwem i integralnością danych.
Rekomendacja
Zaleca się aktualizację biblioteki node-tar do wersji 7.5.2 lub nowszej, aby usunąć tę podatność. Należy również monitorować i weryfikować pliki tar przed ich użyciem.
Oryginalny opis (angielski, źródło NVD)
node-tar is a Tar for Node.js. In 7.5.1, using .t (aka .list) with { sync: true } to read tar entry contents returns uninitialized memory contents if tar file was changed on disk to a smaller size while being read. This vulnerability is fixed in 7.5.2.