CVE-2026-76845

إصدارات adm-zip من 0.5.9 إلى 0.6.0

يقوم البرنامج باتباع الروابط الرمزية في وجهة الاستخراج. تفشل الدالة Utils.sanitize الموجودة في ملف util/utils.js في فرض الاحتواء بشكل صحيح، حيث تقتصر على مقارنة الشكل النصي لاسم عنصر الأرشيف فقط مع جذر الاستخراج الذي تم تحليله. بالإضافة إلى ذلك، تستخدم الدالة Utils.writeFileTo fs.openSync(path, ”w“, 0o666)، التي تحل الروابط الرمزية وتفتقر إلى كل من علامة O NOFOLLOW وفحص fs.lstatSync قبل الكتابة. إذا كان أحد مكونات المسار في الوجهة عبارة عن رابط رمزي يشير إلى خارج جذر الاستخراج، فستقوم الدوال extractAllTo وextractAllToAsync وextractEntryTo بكتابة محتويات العنصر عبر ذلك الرابط وتعديل أذونات الهدف. وهذا يسمح للمهاجم الذي يمكنه إنشاء رابط رمزي في دليل استخراج مشترك أو يمكن التنبؤ به بالكتابة فوق الملفات التي تمتلك العملية أذونات الكتابة عليها، شريطة أن يكون خيار الكتابة فوق الملفات ممكّنًا.

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.