CVE-2026-31802 — npm tar पाथ ट्रैवर्सल स्कैनर

उन npm पैकेजों का पता लगाता है जो CVE-2026-31802 के प्रति भेद्य हैं, जो tar npm पैकेज में एक पाथ ट्रैवर्सल भेद्यता है जो आर्काइव निष्कर्षण के दौरान मनमाने ढंग से फ़ाइलें लिखने की अनुमति देती है।

विशेषताएँ

भेद्य tar संस्करणों के लिए package-lock.json स्कैन करता है
स्थापित भेद्य पैकेजों के लिए node_modules की जाँच करता है
निर्मित tar आर्काइव्स के साथ निष्कर्षण व्यवहार का परीक्षण करता है
भेद्य tar की ओर ले जाने वाली निर्भरता श्रृंखलाओं की पहचान करता है
कई प्रोजेक्ट्स के बल्क स्कैनिंग का समर्थन करता है
JSON/CSV रिपोर्ट जनरेशन
सुधार अनुशंसाएँ

इंस्टॉलेशन

git clone https://github.com/ridhinva/npm-tar-traversal-scanner.git
cd npm-tar-traversal-scanner
pip3 install -r requirements.txt

उपयोग

वर्तमान निर्देशिका स्कैन करें

python3 npm_tar_scanner.py

विशिष्ट प्रोजेक्ट स्कैन करें

python3 npm_tar_scanner.py /path/to/project

package-lock.json को सीधे स्कैन करें

python3 npm_tar_scanner.py --lock-file /path/to/package-lock.json

कई प्रोजेक्ट्स का बल्क स्कैन करें

python3 npm_tar_scanner.py --bulk /path/to/projects/

रिपोर्ट जेनरेट करें

python3 npm_tar_scanner.py --report json --output report.json
python3 npm_tar_scanner.py --report csv --output report.csv

एक्सप्लॉइट परीक्षण के साथ जाँच करें

python3 npm_tar_scanner.py --test-exploit /path/to/project

भेद्य संस्करण

पैकेज	भेद्य रेंज	फिक्स संस्करण
`tar`	< 6.2.1	6.2.1
`tar`	7.0.0-alpha.0 - 7.0.0-alpha.5	7.0.0-alpha.6

यह कैसे काम करता है

निर्भरता ट्री निकालने के लिए package-lock.json को पार्स करता है
ज्ञात भेद्य रेंजों के विरुद्ध tar पैकेज संस्करण की जाँच करता है
पहचान करता है कि tar प्रत्यक्ष या ट्रांज़िटिव निर्भरता है या नहीं
वैकल्पिक रूप से ../ पाथ एंट्री वाले निर्मित tar के साथ निष्कर्षण का परीक्षण करता है
निर्भरता श्रृंखला और सुधार चरणों के साथ भेद्य प्रोजेक्ट्स की रिपोर्ट करता है

उदाहरण आउटपुट

[!] CVE-2026-31802 - npm tar Path Traversal Scanner
[+] Scanning: /home/user/my-project
[!] VULNERABLE: [email protected] (locked in package-lock.json)
    Path: node_modules/tar
    Dependency chain: my-project -> node-gyp -> tar
    Severity: HIGH - Arbitrary file write during extraction
    Fix: Update to [email protected] or later

संदर्भ

CVE-2026-31802
npm tar पैकेज: https://www.npmjs.com/package/tar
CISA KEV: 2026-05-22

लेखक

@c_y_p_h3r

कानूनी अस्वीकरण

केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए।

npm-tar-path-traversal-scanner

सबसे लोकप्रिय