CVE-2026-31802 — npm tar Pfad-Traversal-Scanner

Erkennt npm-Pakete, die für CVE-2026-31802 anfällig sind, eine Pfad-Traversal-Schwachstelle im npm-Paket tar, die beliebige Dateischreibvorgänge während der Archiv-Extraktion ermöglicht.

Funktionen

Scannt package-lock.json nach anfälligen tar-Versionen
Prüft node_modules auf installierte anfällige Pakete
Testet das Extraktionsverhalten mit manipulierten tar-Archiven
Ermittelt Abhängigkeitsketten, die zu anfälligem tar führen
Unterstützt Bulk-Scans mehrerer Projekte
Erzeugung von JSON/CSV-Berichten
Empfehlungen zur Behebung

Installation

git clone https://github.com/ridhinva/npm-tar-traversal-scanner.git
cd npm-tar-traversal-scanner
pip3 install -r requirements.txt

Verwendung

Aktuelles Verzeichnis scannen

python3 npm_tar_scanner.py

Bestimmtes Projekt scannen

python3 npm_tar_scanner.py /path/to/project

package-lock.json direkt scannen

python3 npm_tar_scanner.py --lock-file /path/to/package-lock.json

Mehrere Projekte im Bulk-Scan scannen

python3 npm_tar_scanner.py --bulk /path/to/projects/

Bericht erstellen

python3 npm_tar_scanner.py --report json --output report.json
python3 npm_tar_scanner.py --report csv --output report.csv

Mit Exploit-Test prüfen

python3 npm_tar_scanner.py --test-exploit /path/to/project

Anfällige Versionen

Paket	Anfälliger Bereich	Behoben in
`tar`	< 6.2.1	6.2.1
`tar`	7.0.0-alpha.0 - 7.0.0-alpha.5	7.0.0-alpha.6

So funktioniert es

Parst package-lock.json, um den Abhängigkeitsbaum zu extrahieren
Prüft die Version des tar-Pakets gegen bekannte anfällige Bereiche
Ermittelt, ob tar eine direkte oder transitive Abhängigkeit ist
Testet optional die Extraktion mit einem manipulierten tar, das ../-Pfadeinträge enthält
Meldet anfällige Projekte mit Abhängigkeitskette und Behebungsschritten

Beispielausgabe

[!] CVE-2026-31802 - npm tar Path Traversal Scanner
[+] Scanning: /home/user/my-project
[!] VULNERABLE: [email protected] (locked in package-lock.json)
    Path: node_modules/tar
    Dependency chain: my-project -> node-gyp -> tar
    Severity: HIGH - Arbitrary file write during extraction
    Fix: Update to [email protected] or later

Referenzen

CVE-2026-31802
npm tar-Paket: https://www.npmjs.com/package/tar
CISA KEV: 2026-05-22

Autor

@c_y_p_h3r

Rechtlicher Hinweis

Nur für autorisierte Sicherheitstests und Bildungszwecke.

npm-tar-path-traversal-scanner

Beliebteste