PT-2026-6213 · Unknown · Compressing

Heeqw · Publicado 2026-02-03 · Atualizado 2026-06-02 · CVE-2026-24884

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.4

Alta

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Compressing versões anteriores a 1.10.4 Compressing versão 2.0.0

Description Compressing é uma biblioteca de compressão e descompressão para Node.js. A função compressing.tar.uncompress() extrai arquivos TAR e restaura links simbólicos sem validar seus destinos. Um atacante pode incorporar links simbólicos que se resolvem fora do diretório de extração pretendido, fazendo com que entradas de arquivos subsequentes sejam gravadas em locais arbitrários no sistema de arquivos do host. Isso pode permitir a sobrescrita de arquivos sensíveis ou a criação de novos arquivos em locais críticos para a segurança. Em ambientes onde a extração é realizada com privilégios elevados ou visa caminhos executáveis, isso pode resultar em execução de código, escalonamento de privilégios, corrupção de dados ou negação de serviço.

Recommendations Atualizar as versões do Compressing anteriores a 1.10.4 para a versão 1.10.4. Atualizar a versão 2.0.0 do Compressing para a versão 2.0.1.

Exploit

Correção

Link Following

Enumeração de Fraquezas

CWE-59

Identificadores relacionados

CVE-2026-24884

GHSA-CC8F-XG8V-72M3

Produtos afetados

Compressing

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/24xxx/CVE-2026-24884.json · Exploit
• https://github.com/node-modules/compressing · Nota
• https://github.com/node-modules/compressing/commit/8d16c196c7f1888fc1af957d9ff36117247cea6c · Correção
• https://github.com/node-modules/compressing/security/advisories/GHSA-cc8f-xg8v-72m3 · Aviso do Fabricante
• https://github.com/node-modules/compressing/commit/ce1c0131c401c071c77d5a1425bf8c88cfc16361 · Correção
• https://twitter.com/CVEnew/status/2019137041670307952 · Publicação no Twitter
• https://twitter.com/DFIR_Radar/status/2061720086386258008 · Publicação no Twitter
• https://t.me/CVEtracker/43746 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-24884 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-cc8f-xg8v-72m3 · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2048482444257411459 · Publicação no Twitter
• https://t.me/cveNotify/153584 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-24884 · Nota de Segurança
• https://twitter.com/CVEnew/status/2048481106178068566 · Publicação no Twitter
• https://twitter.com/dailycve/status/2045281619276095983 · Publicação no Twitter