PT-2026-23608 · Node-Tar+1 · Node-Tar+1
Jvr2022
·
Publicado
2026-03-05
·
Atualizado
2026-05-18
·
CVE-2026-29786
CVSS v4.0
8.2
Alta
| Vetor | AV:L/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:L/SC:N/SI:H/SA:L |
Nome do Software Vulnerável e Versões Afetadas
Versões do node-tar anteriores à 7.5.10
Descrição
O pacote node-tar contém uma falha que permite que ele seja induzido a criar um hardlink apontando para fora do diretório de extração. Isso é alcançado utilizando um alvo de link relativo à unidade, como 'C:../target.txt', o que permite a sobrescrita de arquivos fora do diretório de trabalho atual durante a extração normal tar.x(). A lógica de extração falha ao manipular corretamente segmentos '..' antes de remover raízes absolutas, resultando na criação do hardlink malicioso. Esta vulnerabilidade pode ser explorada ao extrair arquivos tar controlados por um atacante. O impacto desta questão é uma primitiva de sobrescrita de arquivo arbitrária fora da raiz de extração pretendida, com as permissões do processo que realiza a extração.
Recomendações
Versões anteriores à 7.5.10 devem ser atualizadas para a versão 7.5.10 ou superior.
Exploit
Correção
DoS
Path traversal
Link Following
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Red Os
Node-Tar