CVE-2025-13437

zx (الإصدارات المتأثرة غير محددة)

يوجد عيب في zx حيث، عند استدعائه باستخدام الخيار --prefer-local الذي يشير إلى مسار محدد، تقوم واجهة سطر الأوامر بإنشاء رابط رمزي باسم ./node modules إلى الدليل node modules في المسار المحدد. يؤدي خطأ منطقي في الملف src/cli.ts، وتحديدًا في الدالتين linkNodeModules وcleanup، إلى قيام الدالة بإرجاع المسار الهدف بدلاً من مسار الرابط الرمزي. بعد ذلك، تقوم روتين التنظيف بحذف الدليل الهدف عن غير قصد خارج دليل العمل الحالي. وقد يؤدي ذلك إلى حذف دلائل node modules خارجية. الدالتان المعرضتان للثغرة هما linkNodeModules() وcleanup(). المعلمة المعرضة للثغرة هي <path>.

في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة.