CVE-2026-24846

Nome do Software Vulnerável e Versões Afetadas Versões do malcontent de 1.8.0 a 1.20.2

Descrição O malcontent pode permitir a criação de links simbólicos fora do diretório de extração pretendido ao analisar arquivos tar ou deb especialmente elaborados. Isso ocorre porque a função handleSymlink recebeu argumentos na ordem incorreta, fazendo com que o destino do link simbólico fosse usado como a localização do link. Além disso, os destinos dos links simbólicos não foram validados para garantir que permanecessem dentro do diretório de extração.

Recomendações Atualize para a versão 1.20.3 ou posterior para se beneficiar das correções que invertem os argumentos da função handleSymlink, validam a localização do link simbólico e validam se os destinos dos links simbólicos são resolvidos dentro do diretório de extração.