CVE-2026-31802 — npm tar 경로 탐색 스캐너

아카이브 추출 중 임의 파일 쓰기를 허용하는 tar npm 패키지의 경로 탐색 취약점인 CVE-2026-31802에 취약한 npm 패키지를 탐지합니다.

기능

취약한 tar 버전이 있는지 package-lock.json을 스캔합니다
node_modules에서 설치된 취약 패키지를 확인합니다
조작된 tar 아카이브로 추출 동작을 테스트합니다
취약한 tar로 이어지는 의존성 체인을 식별합니다
여러 프로젝트의 일괄 스캔을 지원합니다
JSON/CSV 보고서 생성
조치 권장 사항

설치

git clone https://github.com/ridhinva/npm-tar-traversal-scanner.git
cd npm-tar-traversal-scanner
pip3 install -r requirements.txt

사용법

현재 디렉터리 스캔

python3 npm_tar_scanner.py

특정 프로젝트 스캔

python3 npm_tar_scanner.py /path/to/project

package-lock.json 직접 스캔

python3 npm_tar_scanner.py --lock-file /path/to/package-lock.json

여러 프로젝트 일괄 스캔

python3 npm_tar_scanner.py --bulk /path/to/projects/

보고서 생성

python3 npm_tar_scanner.py --report json --output report.json
python3 npm_tar_scanner.py --report csv --output report.csv

익스플로잇 테스트로 확인

python3 npm_tar_scanner.py --test-exploit /path/to/project

취약한 버전

패키지	취약 범위	수정 버전
`tar`	< 6.2.1	6.2.1
`tar`	7.0.0-alpha.0 - 7.0.0-alpha.5	7.0.0-alpha.6

작동 방식

package-lock.json을 파싱하여 의존성 트리를 추출합니다
tar 패키지 버전을 알려진 취약 범위와 대조합니다
tar가 직접 또는 전이적 의존성인지 식별합니다
선택적으로 ../ 경로 항목이 포함된 조작된 tar로 추출을 테스트합니다
의존성 체인 및 조치 단계와 함께 취약한 프로젝트를 보고합니다

출력 예시

[!] CVE-2026-31802 - npm tar Path Traversal Scanner
[+] Scanning: /home/user/my-project
[!] VULNERABLE: [email protected] (locked in package-lock.json)
    Path: node_modules/tar
    Dependency chain: my-project -> node-gyp -> tar
    Severity: HIGH - Arbitrary file write during extraction
    Fix: Update to [email protected] or later

참고 자료

CVE-2026-31802
npm tar 패키지: https://www.npmjs.com/package/tar
CISA KEV: 2026-05-22

작성자

@c_y_p_h3r

법적 고지

승인된 보안 테스트 및 교육 목적으로만 사용하십시오.

npm-tar-path-traversal-scanner

인기