CVE-2026-31802 — Scanner de Path Traversal do npm tar

Detecta pacotes npm vulneráveis ao CVE-2026-31802, uma vulnerabilidade de path traversal no pacote npm tar que permite escrita arbitrária de arquivos durante a extração de arquivos.

Recursos

• Verifica package-lock.json em busca de versões vulneráveis do tar
• Verifica node_modules para pacotes vulneráveis instalados
• Testa o comportamento de extração com arquivos tar criados especialmente
• Identifica cadeias de dependências que levam ao tar vulnerável
• Suporta varredura em massa de múltiplos projetos
• Geração de relatórios JSON/CSV
• Recomendações de remediação

Instalação

git clone https://github.com/ridhinva/npm-tar-traversal-scanner.git
cd npm-tar-traversal-scanner
pip3 install -r requirements.txt

Uso

Escanear Diretório Atual

python3 npm_tar_scanner.py

Escanear Projeto Específico

python3 npm_tar_scanner.py /path/to/project

Escanear package-lock.json Diretamente

python3 npm_tar_scanner.py --lock-file /path/to/package-lock.json

Varredura em Massa de Múltiplos Projetos

python3 npm_tar_scanner.py --bulk /path/to/projects/

Gerar Relatório

python3 npm_tar_scanner.py --report json --output report.json
python3 npm_tar_scanner.py --report csv --output report.csv

Verificar com Teste de Exploit

python3 npm_tar_scanner.py --test-exploit /path/to/project

Versões Vulneráveis

Pacote	Faixa Vulnerável	Corrigido em
tar	< 6.2.1	6.2.1
tar	7.0.0-alpha.0 - 7.0.0-alpha.5	7.0.0-alpha.6

Como Funciona

1. Analisa o package-lock.json para extrair a árvore de dependências
2. Verifica a versão do pacote tar contra faixas vulneráveis conhecidas
3. Identifica se o tar é uma dependência direta ou transitiva
4. Opcionalmente, testa a extração com um tar criado especialmente contendo entradas de caminho ../
5. Relata projetos vulneráveis com cadeia de dependência e etapas de remediação

Exemplo de Saída

[!] CVE-2026-31802 - npm tar Path Traversal Scanner
[+] Scanning: /home/user/my-project
[!] VULNERABLE: [email protected] (locked in package-lock.json)
    Path: node_modules/tar
    Dependency chain: my-project -> node-gyp -> tar
    Severity: HIGH - Arbitrary file write during extraction
    Fix: Update to [email protected] or later

Referências

• CVE-2026-31802
• pacote npm tar: https://www.npmjs.com/package/tar
• CISA KEV: 2026-05-22

Autor

@c_y_p_h3r

Aviso Legal

Somente para testes de segurança autorizados e fins educacionais.