
Escáner: CVE-2026-31802 npm tar path traversal — comprobador en Python para escritura arbitraria de archivos mediante npm pack
Detecta paquetes npm vulnerables a CVE-2026-31802, una vulnerabilidad de path traversal en el paquete npm tar que permite la escritura arbitraria de archivos durante la extracción de archivos.
package-lock.json en busca de versiones vulnerables de tarnode_modules en busca de paquetes vulnerables instaladostar vulnerablegit clone https://github.com/ridhinva/npm-tar-traversal-scanner.git
cd npm-tar-traversal-scanner
pip3 install -r requirements.txt
python3 npm_tar_scanner.py
python3 npm_tar_scanner.py /path/to/project
python3 npm_tar_scanner.py --lock-file /path/to/package-lock.json
python3 npm_tar_scanner.py --bulk /path/to/projects/
python3 npm_tar_scanner.py --report json --output report.json
python3 npm_tar_scanner.py --report csv --output report.csv
python3 npm_tar_scanner.py --test-exploit /path/to/project
| Paquete | Rango vulnerable | Corregido en |
|---|---|---|
tar | < 6.2.1 | 6.2.1 |
tar | 7.0.0-alpha.0 - 7.0.0-alpha.5 | 7.0.0-alpha.6 |
package-lock.json para extraer el árbol de dependenciastar contra los rangos vulnerables conocidostar es una dependencia directa o transitiva../[!] CVE-2026-31802 - npm tar Path Traversal Scanner
[+] Scanning: /home/user/my-project
[!] VULNERABLE: [email protected] (locked in package-lock.json)
Path: node_modules/tar
Dependency chain: my-project -> node-gyp -> tar
Severity: HIGH - Arbitrary file write during extraction
Fix: Update to [email protected] or later
@c_y_p_h3r
Solo para pruebas de seguridad autorizadas y fines educativos.