Tóm tắt nhanh
- CVE-2026-56876 là lỗ hổng mức CAO (CVSS 8.1) ảnh hưởng extract-zip (max-mapper), extract-zip.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.53%, cao hơn 44.8% các lỗ hổng khác.
- Chưa có phiên bản vá trong dữ liệu: theo dõi khuyến cáo của nhà cung cấp ở phần Tham khảo.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| extract-zip | ≤ 2.0.1
| Chưa có bản vá |
| extract-zip npm | ≤ 2.0.1
| Chưa có bản vá |
Mô tả
extract-zip does not validate symlink targets when extracting zip archives. When processing a malicious zip file containing a symlink with a relative path like '../../../../etc/passwd', extract-zip will extract the symlink without validation, allowing it to point outside the extraction directory. Depending on how extract-zip is used, an attacker could read or write to arbitrary files.
Mô tả của NVD
extract-zip does not validate symlink targets when extracting zip archives. When processing a malicious zip file containing a symlink with a relative path like '../../../../etc/passwd', extract-zip will extract the symlink without validation, allowing it to point outside the extraction directory. Depending on how extract-zip is used, an attacker could read or write to arbitrary files.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí