CVE-2026-122146

WysokieCVSS 7.3

Opublikowano: 05/11/2026(UTC)Zaktualizowano: 05/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Streszczenie

W bibliotece fflate (do wersji 0.8.3) wykryto słabość w funkcji unzipSync w pliku esm/index.mjs. Manipulacja danymi prowadzi do uszkodzenia pamięci, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony, a producent nie odpowiedział na zgłoszenie.

Ocena ryzyka

Zdalny atakujący może wykorzystać publicznie dostępny exploit do uszkodzenia pamięci w aplikacjach używających fflate do rozpakowywania danych, co może prowadzić do awarii lub wykonania kodu.

Rekomendacja

Zaktualizuj bibliotekę fflate do wersji nowszej niż 0.8.3 lub wdroż obejście, jeśli poprawka nie jest dostępna. Monitoruj aplikacje korzystające z unzipSync pod kątem nietypowych danych wejściowych.

Inne podatności w fflate

CVE-2026-45820Wysokie
Biblioteka fflate do wersji 0.8.2 włącznie jest podatna na odmowę usługi poprzez nieskończoną pętlę w funkcji unzipSync(). Spreparowane archiwum ZIP z wpisem katalogu centralnego deklarującym compressed_size=0xFFFFFFFF (wartość strażnika ZIP64) bez wymaganego pola dodatkowego ZIP64 powoduje nieskończoną pętlę z powodu odczytów poza zakresem.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in 101arrowz fflate up to 0.8.3. This issue affects the function unzipSync of the file esm/index.mjs. This manipulation causes memory corruption. It is possible to initiate the attack remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS