open-flaw/cve-2026-2395प्रमाण-अवधारणा जो tar npm पैकेज (v7.5.3) में एक रेस कंडीशन प्रदर्शित करती है, जो समानांतर निष्कर्षण के दौरान फ़ाइल टकराव उत्पन्न करती है, जिससे डेटा भ्रष्टाचार या अधिलेखन होता है।
CVE-2026-23950 के लिए प्रूफ ऑफ कॉन्सेप्ट - tar पैकेज में रेस कंडीशन भेद्यता।
यह रिपॉजिटरी tar npm पैकेज (संस्करण 7.5.3) में एक रेस कंडीशन भेद्यता प्रदर्शित करती है जो निष्कर्षण के दौरान फ़ाइल टकराव की अनुमति देती है। यह भेद्यता यूनिकोड सामान्यीकरण अंतरों का फायदा उठाती है जहाँ केस-असंवेदनशील टकरावों के कारण collision_ss और collision_ß को एक ही फ़ाइल के रूप में माना जा सकता है।
यह एक्सप्लॉइट दो फ़ाइलों के साथ एक tar संग्रह बनाता है:
collision_ss - 1000 'A' वर्णों से युक्तcollision_ß - 1000 'B' वर्णों से युक्तजब समानांतर प्रोसेसिंग सक्षम (jobs: 8) के साथ निष्कर्षण किया जाता है, तो रेस कंडीशन इन फ़ाइलों के टकराने का कारण बन सकती है, जिसके परिणामस्वरूप:
npm install
node index.js
यदि रेस कंडीशन सफलतापूर्वक शोषित होती है:
[*] GOOD प्रदर्शित करेगायदि भेद्यता ट्रिगर नहीं होती है:
[-] No collision प्रदर्शित करेगायह भेद्यता निम्नलिखित का कारण बन सकती है:
उपलब्ध होने पर tar पैकेज के पैच किए गए संस्करण में अपडेट करें।
यह कोड केवल शैक्षिक और शोध उद्देश्यों के लिए है। इस एक्सप्लॉइट का उपयोग दुर्भावनापूर्ण उद्देश्यों के लिए न करें।