CVE-2026-31802 — Scanneur de traversée de chemin npm tar

Détecte les paquets npm vulnérables à CVE-2026-31802, une vulnérabilité de traversée de chemin dans le paquet npm tar permettant l'écriture arbitraire de fichiers lors de l'extraction d'archives.

Fonctionnalités

• Analyse package-lock.json pour détecter les versions vulnérables de tar
• Vérifie les paquets vulnérables installés dans node_modules
• Teste le comportement d'extraction avec des archives tar spécialement conçues
• Identifie les chaînes de dépendances menant à un tar vulnérable
• Prend en charge l'analyse groupée de plusieurs projets
• Génération de rapports JSON/CSV
• Recommandations de correction

Installation

git clone https://github.com/ridhinva/npm-tar-traversal-scanner.git
cd npm-tar-traversal-scanner
pip3 install -r requirements.txt

Utilisation

Analyser le répertoire courant

python3 npm_tar_scanner.py

Analyser un projet spécifique

python3 npm_tar_scanner.py /path/to/project

Analyser directement package-lock.json

python3 npm_tar_scanner.py --lock-file /path/to/package-lock.json

Analyser plusieurs projets en masse

python3 npm_tar_scanner.py --bulk /path/to/projects/

Générer un rapport

python3 npm_tar_scanner.py --report json --output report.json
python3 npm_tar_scanner.py --report csv --output report.csv

Vérifier avec un test d'exploitation

python3 npm_tar_scanner.py --test-exploit /path/to/project

Versions vulnérables

Comment ça fonctionne

1. Analyse package-lock.json pour extraire l'arbre des dépendances
2. Vérifie la version du paquet tar par rapport aux plages vulnérables connues
3. Identifie si tar est une dépendance directe ou transitive
4. Teste éventuellement l'extraction avec un tar spécialement conçu contenant des entrées de chemin ../
5. Signale les projets vulnérables avec la chaîne de dépendances et les étapes de correction

Exemple de sortie

[!] CVE-2026-31802 - npm tar Path Traversal Scanner
[+] Scanning: /home/user/my-project
[!] VULNERABLE: [email protected] (locked in package-lock.json)
    Path: node_modules/tar
    Dependency chain: my-project -> node-gyp -> tar
    Severity: HIGH - Arbitrary file write during extraction
    Fix: Update to [email protected] or later

Références

• CVE-2026-31802
• Paquet npm tar : https://www.npmjs.com/package/tar
• CISA KEV: 2026-05-22

Auteur

@c_y_p_h3r

Avertissement légal

Uniquement pour des tests de sécurité autorisés et à des fins éducatives.