CVE-2026-101894

Resumen

El paquete decompress para Node.js extrae archivos. Antes de 10.2.2 y 11.1.4, la API predeterminada decompress(input, output) se basa en comprobaciones de contención léxica que no tienen en cuenta que el kernel sigue una cadena de enlaces simbólicos plantada. Un atacante puede proporcionar un archivo manipulado que contenga entradas de enlaces simbólicos encadenados de modo que una entrada posterior se resuelva fuera del directorio de salida. Esto permite leer o escribir archivos fuera de output, y sobrescribir scripts de inicio o configuración puede dar lugar a ejecución remota de código. El paquete mantenido @xhmikosr/decompress está corregido en 10.2.2 y 11.1.4, pero el paquete decompress no mantenido y afectado por separado permanece sin parchear hasta la 4.2.1. Esta vulnerabilidad es el resultado de un bypass del endurecimiento incompleto para CVE-2026-53486. @xhmikosr/decompress está corregido en las versiones 10.2.2 y 11.1.4.

Fuentes

• CVE-2026-101894PoC

  PoC en Python para CVE-2026-101894: path traversal mediante cadena de symlinks en @xhmikosr/decompress. Incluye laboratorio local de Node, escaneo de versión en lockfile y exploit de carga masiva de evil.tar.