p PatchFirst

CVE-2026-114103

CVE-2026-114103 · adm-zip 0.6.0 Decompression Bomb Guard Bypass via getDataAsync()

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

adm-zip 0.6.0 contains a decompression bomb protection bypass that allows attackers to evade the maxOutputLength guard by targeting the asynchronous getDataAsync() path in methods/inflater.js. Attackers can craft ZIP entries with falsified small declared sizes and high-ratio DEFLATE payloads to exhaust memory in applications reading entries asynchronously.

CVSS 6.9 · Moyenne · EPSS 0,3% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • adm-zip

    Versions du logiciel
    • ≥ 0.6.0, < 0.6.1: Concernée (semver)
    • 0.6.1: Non concernée (semver)

    Mettez à jour vers 0.6.1

  • adm-zip npm

    Plages de versions concernées
    • SEMVER: < 0.6.1

    Mettez à jour vers 0.6.1

Sources originales

Vérifiez votre serveur →