CVE-2026-39245

Nome do Software Vulnerável e Versões Afetadas decompress versões anteriores a 4.2.2

Description Uma verificação de contenção de caminho inadequada permite a travessia de diretório e a gravação arbitrária de arquivos. A função safeMakeDir() e a validação do caminho de extração utilizam String.indexOf() para verificar se o caminho resolvido está dentro do diretório de saída. Esta verificação é falha pois não impõe um limite de separador de caminho, permitindo que caminhos que iniciam com os mesmos caracteres do diretório de saída, mas que estão na verdade adjacentes a ele, passem na validação. Combinado com a criação de links simbólicos não validados, um invasor pode gravar arquivos arbitrários em diretórios adjacentes ao alvo da extração.

Recommendations Atualize para a versão 4.2.2 ou posterior.