PT-2026-3403 · Esm.Sh · Esm.Sh

Kelbyludwig · Publicado 2026-01-18 · Atualizado 2026-03-03 · CVE-2026-23644

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do esm.sh anteriores a 0.0.0-20260116051925-c62ab83c589e

Descrição O esm.sh é uma rede de entrega de conteúdo para desenvolvimento web. Versões anteriores à pseudoversão 0.0.0-20260116051925-c62ab83c589e contêm uma vulnerabilidade de path traversal. O problema decorre de uma correção incompleta em que path.Clean normaliza um caminho, mas não impede caminhos absolutos dentro de um arquivo tar malicioso.

Recomendações Atualize para a versão 0.0.0-20260116051925-c62ab83c589e ou posterior.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-23644

GHSA-2657-3C98-63JQ

GO-2026-4332

SUSE-SU-2026:0757-1

Produtos afetados

Esm.Sh

Referências · 118

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/23xxx/CVE-2026-23644.json · Exploit
• https://github.com/esm-dev/esm.sh · Nota
• https://github.com/esm-dev/esm.sh/commit/9d77b88c320733ff6689d938d85d246a3af9af16 · Correção
• https://github.com/esm-dev/esm.sh/security/advisories/GHSA-2657-3c98-63jq · Aviso do Fabricante
• https://github.com/esm-dev/esm.sh/commit/c62ab83c589e7b421a0e1376d2a00a4e48161093 · Correção
• https://suse.com/security/cve/CVE-2026-27112 · Nota
• https://suse.com/security/cve/CVE-2026-21434 · Nota
• https://suse.com/security/cve/CVE-2025-14573 · Nota
• https://suse.com/security/cve/CVE-2017-18912 · Nota
• https://suse.com/security/cve/CVE-2026-26014 · Nota
• https://suse.com/security/cve/CVE-2026-27141 · Nota
• https://suse.com/security/cve/CVE-2026-26055 · Nota
• https://suse.com/security/cve/CVE-2026-22592 · Nota
• https://suse.com/security/cve/CVE-2026-24137 · Nota
• https://suse.com/security/cve/CVE-2025-13821 · Nota