p PatchFirst

CVE-2026-31988

CVE-2026-31988 · yauzl 3.2.0 - Denial of Service via Off-by-One Error in NTFS Timestamp Parser

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

yauzl (aka Yet Another Unzip Library) version 3.2.0 for Node.js contains an off-by-one error in the NTFS extended timestamp extra field parser within the getLastModDate() function. The while loop condition checks cursor < data.length + 4 instead of cursor + 4 <= data.length, allowing readUInt16LE() to read past the buffer boundary. A remote attacker can cause a denial of service (process crash via ERR_OUT_OF_RANGE exception) by sending a crafted zip file with a malformed NTFS extra field. This affects any Node.js application that processes zip file uploads and calls entry.getLastModDate() on parsed entries. Fixed in version 3.2.1.

CVSS 6.9 · Mittel · EPSS 0,5% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · node

Betroffene Produkte und Versionen

  • yauzl

    Softwareversionen
    • ≥ 3.2.0, < 3.2.1: Betroffen (semver)
    • 3.2.1: Nicht betroffen

    Auf 3.2.1 aktualisieren

  • yauzl npm

    Softwareversionen
    • 3.2.0
    Betroffene Versionsbereiche
    • SEMVER: ≥ 3.2.0, < 3.2.1

    Auf 3.2.1 aktualisieren

  • node-yauzl Ubuntu:16.04:LTS

    Softwareversionen
    • 2.1.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-yauzl Ubuntu:18.04:LTS

    Softwareversionen
    • 2.1.0-1
    • 2.1.0-1ubuntu1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-yauzl Ubuntu:20.04:LTS

    Softwareversionen
    • 2.10.0-1
    • 2.10.0-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-yauzl Ubuntu:22.04:LTS

    Softwareversionen
    • 2.10.0-2
    • 2.10.0-3
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-yauzl Ubuntu:24.04:LTS

    Softwareversionen
    • 2.10.0-4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-yauzl Ubuntu:25.10

    Softwareversionen
    • 2.10.0-4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-yauzl Ubuntu:26.10

    Softwareversionen
    • 2.10.0-4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-yauzl Ubuntu:26.04:LTS

    Softwareversionen
    • 2.10.0-4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →