p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

Sicherheitslücken in @xhmikosr/decompress

In den letzten 30 Tagen veröffentlichte Sicherheitslücken für @xhmikosr/decompress: 0. Davon im KEV-Katalog: 0.

RSS ↗ JSON ↗
Sicherheitslücken filtern
Filter zurücksetzen

Sicherheitslücken: 2

  1. CVE-2026-101894

    Kritisch · CVSS 9.1EPSS 0,81%Öffentlicher ExploitKorrektur verfügbar

    @xhmikosr/decompress: Path traversal via symlink chain

    The decompress package for Node.js extracts archives. Prior to 10.2.2 and 11.1.4, the default decompress(input, output) API relies on lexical containment checks that do not account for the kernel following a planted symlink chain. An attacker can supply a crafted archive containing chained symlink entries so that a later entry resolves outside the output directory. This allows files outside output to be read or written, and overwriting startup scripts or configuration can lead to remote code execution. The maintained @xhmikosr/decompress package is fixed in 10.2.2 and 11.1.4, but the separately affected unmaintained decompress package remains

    @xhmikosr/decompress @xhmikosr/decompressNode.js
    • Auf 10.2.2 aktualisieren
    • Auf 11.1.4 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  2. CVE-2026-53486

    Kritisch · CVSS 9.1EPSS 0,75%Öffentlicher ExploitKorrektur verfügbar

    decompress: Archive extraction can create files and links outside the target directory

    The decompress package for Node.js extracts archives. Prior to 10.2.1 and 11.1.3, archive extraction can create files and links outside the target directory. When extracting an archive to a directory, a crafted archive can read or write files outside that directory because hardlink and symlink entries are created without checking where targets point, path containment used a string prefix comparison, and file modes failed to remove setuid, setgid, or sticky bits. This issue is fixed in @xhmikosr/decompress versions 10.2.1 and 11.1.3.

    @xhmikosr/decompress @xhmikosr/decompressNode.js
    • Auf 10.2.1 aktualisieren
    • Auf 11.1.3 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →