CVE-2026-101894

概要

Node.js用のdecompressパッケージはアーカイブを展開します。10.2.2および11.1.4より前では、デフォルトのdecompress(input, output) APIは、カーネルが仕込まれたシンボリックリンクチェーンを辿ることを考慮していない字句的な包含チェックに依存しています。攻撃者は、連鎖したシンボリックリンクエントリを含む細工されたアーカイブを提供することで、後続のエントリが出力ディレクトリ外に解決されるようにできます。これにより、output外のファイルが読み書きされる可能性があり、起動スクリプトや設定を上書きすることでリモートコード実行につながる可能性があります。メンテナンスされている@xhmikosr/decompressパッケージは10.2.2および11.1.4で修正されていますが、別途影響を受けるメンテナンスされていないdecompressパッケージは4.2.1まで未パッチのままです。この脆弱性は、CVE-2026-53486に対する不完全なハードニングのバイパスに起因します。@xhmikosr/decompressはバージョン10.2.2および11.1.4で修正されています。

ソース

• CVE-2026-101894PoC

  CVE-2026-101894 の Python PoC: @xhmikosr/decompress におけるシンボリックリンクチェーンによるパストラバーサル。ローカル Node ラボ、lockfile バージョンスキャン、および大量の evil.tar アップロードエクスプロイトを含みます。