CVE-2026-10732
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Pakiet decompress w wszystkich wersjach jest podatny na zapis dowolnego pliku poprzez ekstrakcję archiwum (Zip Slip). Podatność wynika z kolejności przetwarzania mikro-zadań, która pozwala na ominięcie istniejących zabezpieczeń przed zapisem przez dowiązanie symboliczne. Atakujący może dostarczyć spreparowane archiwum ZIP, co może prowadzić do zdalnego wykonania kodu.
Ocena ryzyka
Atakujący może zapisać dowolny plik w systemie plików ofiary, co może prowadzić do zdalnego wykonania kodu lub przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację pakietu decompress do wersji zawierającej poprawkę lub zastosowanie alternatywnego pakietu do ekstrakcji archiwów.
Inne podatności w decompress
Zobacz wszystkie- CVE-2026-53486Krytyczne
Podatność w pakiecie decompress dla Node.js umożliwia tworzenie plików i dowiązań poza docelowym katalogiem podczas rozpakowywania archiwum. Problem wynika z braku walidacji ścieżek dowiązań twardych i symbolicznych, porównywania ścieżek za pomocą prefiksu oraz nieusuwania bitów setuid, setgid i sticky z uprawnień plików.
- CVE-2026-39246Wysokie
Biblioteka 'decompress' przed wersją 4.2.2 umożliwia tworzenie dowolnych dowiązań symbolicznych podczas rozpakowywania archiwum. Atakujący może spreparować archiwum zawierające dowiązania symboliczne wskazujące na wrażliwe pliki poza katalogiem docelowym, co prowadzi do ujawnienia informacji.
- CVE-2026-39245Średnie
W bibliotece 'decompress' przed wersją 4.2.2 wykryto podatność na przejście do katalogu nadrzędnego (directory traversal) i zapis dowolnego pliku. Funkcja safeMakeDir oraz walidacja ścieżki ekstrakcji używają String.indexOf() do sprawdzenia, czy rozpoznana ścieżka znajduje się w katalogu docelowym, co jest podatne na obejście przez brak wymogu separatora ścieżki. Atakujący może wykorzystać tę lukę do zapisu plików poza zamierzonym katalogiem, co stanowi obejście poprawki dla CVE-2020-12265.
- CVE-2026-39243Średnie
Biblioteka 'decompress' przed wersją 4.2.2 umożliwia tworzenie dowolnych dowiązań twardych podczas rozpakowywania archiwum. Atakujący może spreparować archiwum z wpisem dowiązania twardego zawierającym absolutną ścieżkę do pliku w tym samym systemie plików, co prowadzi do ujawnienia treści pliku lub jego nadpisania.
Oryginalny opis (angielski, źródło NVD)
All versions of the package decompress are vulnerable to Arbitrary File Write via Archive Extraction (Zip Slip) when extracting a ZIP archive containing two entries with the same path - the first being a symlink to an arbitrary target and the second being a regular file - the file content is written through the symlink to the target location outside the output directory. This is due to the microtask processing order that checks readlink for the second file before resolving symlink for the first file. An attacker can write arbitrary file on the host filesystem potentially leading to remote code execution by providing a specially crafted ZIP archive. **Note:** This bypasses all existing path traversal protections including preventWritingThroughSymlink, added as a part of the fix for [CVE-2020-12265](https://security.snyk.io/vuln/SNYK-JS-DECOMPRESS-557358).