CVE-2026-77301

Nome do Software Vulnerável e Versões Afetadas adm-zip versões anteriores a 0.6.1

Description A função getData() em zipEntry.js confia no tamanho descompactado declarado no diretório central de uma entrada ZIP e aloca memória de saída usando Buffer.alloc antes de validar esse valor em relação aos dados compactados reais e ao resultado da descompactação. Um arquivo ZIP pequeno, especialmente criado, pode declarar um tamanho descompactado de vários gigabytes, forçando o sistema a comprometer memória residente excessiva. Isso pode levar ao esgotamento da memória de todo o serviço ou fazer com que o sistema operacional encerre o processo via OOM-kill (Out-Of-Memory) antes que a validação CRC reporte um erro. Este problema expõe aplicativos que processam arquivos não confiáveis a uma negação de serviço remota.

Recommendations Atualize para a versão 0.6.1.