CVE-2026-39244

Nome do Software Vulnerável e Versões Afetadas adm-zip versões anteriores a 0.5.18

Description Um problema de negação de serviço ocorre ao analisar arquivos ZIP manipulados com um campo de cabeçalho de tamanho descompactado alterado. A biblioteca aloca memória com base no tamanho descompactado declarado no cabeçalho do diretório central do ZIP, sem validá-lo em relação ao tamanho real dos dados compactados ou impor um limite superior. Isso ocorre em zipEntry.js através de Buffer.alloc( centralHeader.size), onde o valor do tamanho é lido do cabeçalho binário em entryHeader.js sem verificação de limites. Um invasor pode usar um arquivo ZIP pequeno para desencadear alocações de memória de vários gigabytes, resultando em exaustão de memória e travamentos imediatos do processo. Isso afeta os seguintes métodos: readFile(), readAsText(), extractEntryTo(), extractAllTo(), extractAllToAsync(), test() e entry.getData().

Recommendations Atualizar para a versão 0.5.18.