Обнаружена уязвимость в узле-распаковщике ZJONSSON до версии 0.12.3. Этой уязвимости подвержена функция извлечения файла lib/extract.js. Эта манипуляция вызывает обход пути.
Атака требует локального доступа. Эксплойт был публично раскрыт и может быть использован. Проект был заранее проинформирован о проблеме в отчете о проблеме, но пока не ответил.
Показать оригинальное описание (EN)
A vulnerability was determined in ZJONSSON node-unzipper up to 0.12.3. Affected by this vulnerability is the function Extract of the file lib/extract.js. This manipulation causes path traversal. The attack requires local access. The exploit has been publicly disclosed and may be utilized. The project was informed of the problem early through an issue report but has not responded yet.
Характеристики атаки
Способ атаки
Локальный
Нужен локальный доступ
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
zjonsson:node-unzipper
Ссылки 6
https://github.com/ZJONSSON/node-unzipper/
cna@vuldb.com
https://github.com/ZJONSSON/node-unzipper/issues/357
cna@vuldb.com
https://vuldb.com/cve/CVE-2026-17514
cna@vuldb.com
https://vuldb.com/submit/862473
cna@vuldb.com
https://vuldb.com/vuln/383384
cna@vuldb.com
https://vuldb.com/vuln/383384/cti
cna@vuldb.com