p PatchFirst

CVE-2026-114103

CVE-2026-114103 · adm-zip 0.6.0 Decompression Bomb Guard Bypass via getDataAsync()

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

adm-zip 0.6.0 contains a decompression bomb protection bypass that allows attackers to evade the maxOutputLength guard by targeting the asynchronous getDataAsync() path in methods/inflater.js. Attackers can craft ZIP entries with falsified small declared sizes and high-ratio DEFLATE payloads to exhaust memory in applications reading entries asynchronously.

CVSS 6.9 · Mittel · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • adm-zip

    Softwareversionen
    • ≥ 0.6.0, < 0.6.1: Betroffen (semver)
    • 0.6.1: Nicht betroffen (semver)

    Auf 0.6.1 aktualisieren

  • adm-zip npm

    Betroffene Versionsbereiche
    • SEMVER: < 0.6.1

    Auf 0.6.1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →