CVE-2026-29786

Node-tar (npm tar) zawiera podatność na wyczerpanie stosu przez niekontrolowaną rekurencję w wewnętrznej funkcji pomocniczej mapHas używanej przez filesFilter. Wywołanie tar.t(...) lub tar.x(...) z niepustą listą wyboru członków instaluje filtr, który zamyka się nad rekurencyjnym mapHas.

node-tar przed wersją 7.5.21 ma podatność w funkcji filesFilter w src/list.ts, która używa rekurencyjnej funkcji mapHas do przechodzenia ścieżki wpisu archiwum bez ograniczenia liczby segmentów. Specjalnie spreparowany nagłówek długiej ścieżki GNU L lub PAX x z tysiącami segmentów może spowodować nieprzechwytywalny błąd przepełnienia stosu RangeError, kończący działanie asynchronicznych i strumieniowych aplikacji Node.js. Problem naprawiono w wersji 7.5.21.

Biblioteka node-tar przed wersją 7.5.17 nie usuwa bajtów NUL z rekordów PAX path i linkpath, co pozwala na stworzenie spreparowanego archiwum, które powoduje nieobsłużony wyjątek i zakończenie procesu Node.js.

Biblioteka node-tar przed wersją 7.5.18 zawiera podatność polegającą na akceptowaniu nagłówka tar z ujemną wartością rozmiaru wpisu zakodowaną w base-256. Powoduje to, że skaner archiwum nie robi postępów, wielokrotnie przetwarzając ten sam nagłówek.

Biblioteka node-tar przed wersją 7.5.19 nie ogranicza całkowitej ilości dekompresowanych danych, liczby wpisów ani współczynnika dekompresji podczas ekstrakcji i parsowania archiwów tar. Pozwala to na wykorzystanie małej, spreparowanej bomby gzip do wyczerpania miejsca na dysku i zasobów CPU.

Biblioteka node-tar przed wersją 7.5.18 konwertuje wszystkie cyfrowe wartości PAX path i linkpath na liczby JavaScript, co powoduje błąd TypeError podczas przetwarzania ścieżek. Problem został naprawiony w wersji 7.5.18.

Podatność w bibliotece node-tar (Tar dla Node.js) przed wersją 7.5.7 wynika z rozbieżności między sprawdzaniem bezpieczeństwa dla dowiązań twardych a rzeczywistą logiką ich tworzenia. Pozwala to atakującemu na ominięcie ochrony przed przejściem do innych katalogów i utworzenie dowiązań twardych do dowolnych plików poza katalogiem wypakowania.

Biblioteka node-tar (Tar dla Node.js) w wersjach do 7.5.3 zawiera podatność na wyścig (race condition) związaną z niekompletną obsługą kolizji ścieżek Unicode w systemie rezerwacji ścieżek. Na systemach plików niewrażliwych na normalizację (np. macOS APFS) atakujący może wykorzystać konfliktujące nazwy plików (np. 'ß' i 'ss') do obejścia blokad współbieżności i przeprowadzenia ataku przez zatrucie dowiązań symbolicznych (Symlink Poisoning), co umożliwia nadpisanie dowolnego pliku.

W bibliotece node-tar w wersji do 7.5.2 stwierdzono podatność polegającą na braku sanityzacji ścieżki linkpath dla wpisów Link (hardlink) i SymbolicLink, gdy preservePaths jest ustawione na false (domyślne bezpieczne zachowanie). Pozwala to złośliwym archiwom na ominięcie ograniczenia katalogu docelowego, prowadząc do nadpisywania dowolnych plików przez hardlinki i zatruwania dowiązań symbolicznych przez absolutne cele dowiązań.