CVE-2026-45820

WysokieCVSS 7.5

Opublikowano: 22/07/2026(UTC)Zaktualizowano: 24/10/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Biblioteka fflate do wersji 0.8.2 włącznie jest podatna na odmowę usługi poprzez nieskończoną pętlę w funkcji unzipSync(). Spreparowane archiwum ZIP z wpisem katalogu centralnego deklarującym compressed_size=0xFFFFFFFF (wartość strażnika ZIP64) bez wymaganego pola dodatkowego ZIP64 powoduje nieskończoną pętlę z powodu odczytów poza zakresem.

Ocena ryzyka

Ryzyko polega na możliwości zablokowania aplikacji używającej fflate do rozpakowywania archiwów, co może prowadzić do odmowy usługi.

Rekomendacja

Zaleca się aktualizację biblioteki fflate do wersji 0.8.3 lub nowszej, która zawiera poprawkę. Tymczasowo należy unikać rozpakowywania niezaufanych archiwów ZIP.

Inne podatności w fflate

CVE-2026-122146Wysokie
W bibliotece fflate (do wersji 0.8.3) wykryto słabość w funkcji unzipSync w pliku esm/index.mjs. Manipulacja danymi prowadzi do uszkodzenia pamięci, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony, a producent nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

fflate through 0.8.2 is vulnerable to denial of service via an infinite loop in unzipSync(). A crafted ZIP archive with a central directory entry declaring compressed_size=0xFFFFFFFF (ZIP64 sentinel) but missing the required ZIP64 extra field tag 0x0001 causes z64e() to loop indefinitely due to out-of-bounds reads returning undefined, which coerces to 0, keeping the loop condition permanently true.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS