CVE-2026-101894

Resumo

O pacote decompress para Node.js extrai arquivos compactados. Antes das versões 10.2.2 e 11.1.4, a API padrão decompress(input, output) baseia-se em verificações de contenção lexical que não consideram o kernel seguindo uma cadeia de symlinks plantada. Um atacante pode fornecer um arquivo compactado criado maliciosamente contendo entradas de symlink encadeadas, de modo que uma entrada posterior seja resolvida fora do diretório de saída. Isso permite que arquivos fora do diretório de saída sejam lidos ou gravados, e a sobrescrita de scripts de inicialização ou configuração pode levar à execução remota de código. O pacote mantido @xhmikosr/decompress foi corrigido nas versões 10.2.2 e 11.1.4, mas o pacote decompress separadamente afetado e não mantido permanece sem correção até a versão 4.2.1. Essa vulnerabilidade resulta de um bypass do hardening incompleto para CVE-2026-53486. O @xhmikosr/decompress foi corrigido nas versões 10.2.2 e 11.1.4.

Fontes

• CVE-2026-101894PoC

  PoC em Python para CVE-2026-101894: path traversal por cadeia de symlinks em @xhmikosr/decompress. Inclui laboratório Node local, varredura de versão em lockfile e exploit de upload em massa de evil.tar.