PT-2026-23608
CVE-2026-29786
·
تاريخ النشر
2026-03-05
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 3.1
8.6
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات node-tar الأقدم من 7.5.10
الوصف
تسمح ثغرة في منطق عملية الاستخراج للمهاجم بإنشاء رابط ثابت (hardlink) يشير إلى خارج دليل الاستخراج المقصود. ومن خلال استخدام هدف رابط نسبي لمحرك الأقراص، مثل
C:../target.txt، يمكن خداع البرنامج لتجاوز قيود المسار. يحدث هذا لأن المنطق يتحقق من وجود مقاطع .. قبل إزالة الجذور المطلقة، مما يسمح لـ linkpath بالخروج من دليل العمل الحالي (cwd) أثناء تنفيذ الدالة tar.x(). وينتج عن ذلك عملية كتابة فوق ملف عشوائي بأذونات العملية التي تقوم بالاستخراج، وهو أمر بالغ الأهمية بشكل خاص للخدمات التي تقوم بفك ضغط أرشيفات غير موثوق بها أو إنشاء مسارات معالجة تستهلك ملفات تابعة لجهات خارجية.التوصيات
تحديث node-tar إلى الإصدار 7.5.10 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾