CVE-2026-31802 — Сканер Path Traversal для npm-пакета tar

Обнаруживает npm-пакеты, уязвимые к CVE-2026-31802, — уязвимости обхода пути в npm-пакете tar, которая позволяет произвольную запись файлов во время извлечения архива.

Возможности

Сканирует package-lock.json на наличие уязвимых версий tar
Проверяет node_modules на наличие установленных уязвимых пакетов
Тестирует поведение извлечения с помощью специально созданных tar-архивов
Определяет цепочки зависимостей, ведущие к уязвимому tar
Поддерживает массовое сканирование нескольких проектов
Генерация отчётов в формате JSON/CSV
Рекомендации по устранению уязвимости

Установка

git clone https://github.com/ridhinva/npm-tar-traversal-scanner.git
cd npm-tar-traversal-scanner
pip3 install -r requirements.txt

Использование

Сканирование текущей директории

python3 npm_tar_scanner.py

Сканирование конкретного проекта

python3 npm_tar_scanner.py /path/to/project

Сканирование package-lock.json напрямую

python3 npm_tar_scanner.py --lock-file /path/to/package-lock.json

Массовое сканирование нескольких проектов

python3 npm_tar_scanner.py --bulk /path/to/projects/

Генерация отчёта

python3 npm_tar_scanner.py --report json --output report.json
python3 npm_tar_scanner.py --report csv --output report.csv

Проверка с помощью эксплойт-теста

python3 npm_tar_scanner.py --test-exploit /path/to/project

Уязвимые версии

Пакет	Уязвимый диапазон	Исправлено в
`tar`	< 6.2.1	6.2.1
`tar`	7.0.0-alpha.0 - 7.0.0-alpha.5	7.0.0-alpha.6

Как это работает

Анализирует package-lock.json для извлечения дерева зависимостей
Проверяет версию пакета tar на соответствие известным уязвимым диапазонам
Определяет, является ли tar прямой или транзитивной зависимостью
Опционально тестирует извлечение с помощью специально созданного tar-архива, содержащего записи с ../
Сообщает об уязвимых проектах с указанием цепочки зависимостей и шагов по устранению

Пример вывода

[!] CVE-2026-31802 - npm tar Path Traversal Scanner
[+] Scanning: /home/user/my-project
[!] VULNERABLE: [email protected] (locked in package-lock.json)
    Path: node_modules/tar
    Dependency chain: my-project -> node-gyp -> tar
    Severity: HIGH - Arbitrary file write during extraction
    Fix: Update to [email protected] or later

Ссылки

CVE-2026-31802
npm-пакет tar: https://www.npmjs.com/package/tar
CISA KEV: 2026-05-22

Автор

@c_y_p_h3r

Правовое уведомление

Только для авторизованного тестирования безопасности и образовательных целей.

npm-tar-path-traversal-scanner

Популярное