CVE-2024-28863

Versões do node-tar anteriores à 6.2.1

Node.js (versões afetadas não especificadas)

O pacote node-tar, utilizado para operações Tar no Node.js, está suscetível a uma condição de negação de serviço. Isso ocorre porque não há limite para o número de subpastas criadas durante o processo de criação de pastas. Um invasor pode explorar essa vulnerabilidade fornecendo um caminho especialmente criado que contenha um grande número de subpastas aninhadas. Isso pode levar a um consumo excessivo de memória e, potencialmente, causar a falha do cliente Node.js. O problema foi resolvido na versão 6.2.1, que impede a extração em subpastas excessivamente profundas.

Atualize o node-tar para a versão 6.2.1 ou posterior.