p PatchFirst

CVE-2026-56876

CVE-2026-56876 · extract-zip unvalidated symlink path traversal

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

extract-zip does not validate symlink targets when extracting zip archives. When processing a malicious zip file containing a symlink with a relative path like '../../../../etc/passwd', extract-zip will extract the symlink without validation, allowing it to point outside the extraction directory. Depending on how extract-zip is used, an attacker could read or write to arbitrary files.

CVSS 8.6 · Hoch · EPSS 0,5%

Veröffentlicht
Aktualisiert

Technologie-Stack: system · node

Betroffene Produkte und Versionen

  • extract-zip

    Softwareversionen
    • ≥ 0: Betroffen (custom)

    Keine Korrektur veröffentlicht

  • node-extract-zip Debian:12

    Softwareversionen
    • 2.0.1+ds-4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-extract-zip Debian:13

    Softwareversionen
    • 2.0.1+ds-4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-extract-zip Debian:14

    Softwareversionen
    • 2.0.1+ds-4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • extract-zip npm

    Betroffene Versionsbereiche
    • SEMVER: ≤ 2.0.1

    Keine Korrektur veröffentlicht

  • node-extract-zip Ubuntu:22.04:LTS

    Softwareversionen
    • 2.0.1+ds-1
    • 2.0.1+ds-3
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-extract-zip Ubuntu:24.04:LTS

    Softwareversionen
    • 2.0.1+ds-4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-extract-zip Ubuntu:25.10

    Softwareversionen
    • 2.0.1+ds-4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-extract-zip Ubuntu:26.10

    Softwareversionen
    • 2.0.1+ds-4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-extract-zip Ubuntu:26.04:LTS

    Softwareversionen
    • 2.0.1+ds-4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →