CVE-2026-39245
ŚrednieCVSS 6.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W bibliotece 'decompress' przed wersją 4.2.2 wykryto podatność na przejście do katalogu nadrzędnego (directory traversal) i zapis dowolnego pliku. Funkcja safeMakeDir oraz walidacja ścieżki ekstrakcji używają String.indexOf() do sprawdzenia, czy rozpoznana ścieżka znajduje się w katalogu docelowym, co jest podatne na obejście przez brak wymogu separatora ścieżki. Atakujący może wykorzystać tę lukę do zapisu plików poza zamierzonym katalogiem, co stanowi obejście poprawki dla CVE-2020-12265.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości nadpisania lub utworzenia dowolnych plików w systemie, co może prowadzić do przejęcia kontroli nad aplikacją, eskalacji uprawnień lub trwałego uszkodzenia danych.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę 'decompress' do wersji 4.2.2 lub nowszej, która zawiera poprawną walidację ścieżki z użyciem separatora. Jeśli aktualizacja nie jest możliwa, należy wdrożyć dodatkowe kontrole bezpieczeństwa na poziomie aplikacji.
Inne podatności w decompress
Zobacz wszystkie- CVE-2026-53486Krytyczne
Podatność w pakiecie decompress dla Node.js umożliwia tworzenie plików i dowiązań poza docelowym katalogiem podczas rozpakowywania archiwum. Problem wynika z braku walidacji ścieżek dowiązań twardych i symbolicznych, porównywania ścieżek za pomocą prefiksu oraz nieusuwania bitów setuid, setgid i sticky z uprawnień plików.
- CVE-2026-39246Wysokie
Biblioteka 'decompress' przed wersją 4.2.2 umożliwia tworzenie dowolnych dowiązań symbolicznych podczas rozpakowywania archiwum. Atakujący może spreparować archiwum zawierające dowiązania symboliczne wskazujące na wrażliwe pliki poza katalogiem docelowym, co prowadzi do ujawnienia informacji.
- CVE-2026-39243Średnie
Biblioteka 'decompress' przed wersją 4.2.2 umożliwia tworzenie dowolnych dowiązań twardych podczas rozpakowywania archiwum. Atakujący może spreparować archiwum z wpisem dowiązania twardego zawierającym absolutną ścieżkę do pliku w tym samym systemie plików, co prowadzi do ujawnienia treści pliku lub jego nadpisania.
- CVE-2026-10732Średnie
Pakiet decompress w wszystkich wersjach jest podatny na zapis dowolnego pliku poprzez ekstrakcję archiwum (Zip Slip). Podatność wynika z kolejności przetwarzania mikro-zadań, która pozwala na ominięcie istniejących zabezpieczeń przed zapisem przez dowiązanie symboliczne. Atakujący może dostarczyć spreparowane archiwum ZIP, co może prowadzić do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
decompress before 4.2.2 contains an improper path containment check that enables directory traversal and arbitrary file write. The safeMakeDir function (index.js line 29) and the extraction path validation (index.js line 106) use String.indexOf() to verify the resolved path is within the output directory: realDestinationDir.indexOf(realOutputPath) !== 0. This check is flawed because it does not enforce a path separator boundary. For example, "/tmp/app_config".indexOf("/tmp/app") returns 0, incorrectly passing the check even though /tmp/app_config is outside /tmp/app. Combined with the unvalidated symlink creation in the same package, an attacker can write arbitrary files to directories adjacent to the extraction target. This is a bypass of the fix for CVE-2020-12265. The correct check requires appending a path separator: realParentPath.indexOf(realOutputPath + path.sep) !== 0.