CVE-2026-101894

Nome do Software Vulnerável e Versões Afetadas @xhmikosr/decompress versões anteriores a 10.2.2 @xhmikosr/decompress versões anteriores a 11.1.4 decompress versões anteriores a 4.2.2

Descrição A API padrão decompress(input, output) utiliza verificações de contenção lexical que não consideram o kernel seguindo uma cadeia de symlinks plantada. Um symlink é um tipo especial de arquivo que serve como referência a outro arquivo ou diretório. Um invasor pode fornecer um arquivo compactado manipulado contendo entradas de symlink encadeadas, fazendo com que uma entrada posterior seja resolvida fora do diretório de saída pretendido. Isso permite a leitura ou gravação não autorizada de arquivos fora da pasta de saída, o que pode levar à execução remota de código se scripts de inicialização ou arquivos de configuração forem sobrescritos.

Recomendações Atualize o @xhmikosr/decompress para a versão 10.2.2 ou posterior. Atualize o @xhmikosr/decompress para a versão 11.1.4 ou posterior. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.