CVE-2026-53486 — The decompress package for Node.js extracts archives....

前端CWE-22 CWE-59 紧急 Node.js CVE-2026-53486

发布于：1小时前📖 3分钟👁️ 1 次阅读

CVE-2026-53486 漏洞深度分析

漏洞概述

CVE 编号： CVE-2026-53486
CVSS 评分： 9.1（CRITICAL）
CVSS 向量： CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE 分类： CWE-22,CWE-59,CWE-732
漏洞状态： Received
发布时间： 2026-07-14T21:17:05.447
最后更新： 2026-07-14T21:17:05.447

漏洞描述

The decompress package for Node.js extracts archives. Prior to 10.2.1 and 11.1.3, archive extraction can create files and links outside the target directory. When extracting an archive to a directory, a crafted archive can read or write files outside that directory because hardlink and symlink entries are created without checking where targets point, path containment used a string prefix comparison, and file modes failed to remove setuid, setgid, or sticky bits. This issue is fixed in @xhmikosr/decompress versions 10.2.1 and 11.1.3.

影响分析

此漏洞的具体影响取决于实际利用场景。"

修复建议

及时关注厂商发布的安全更新和补丁
升级受影响组件到最新版本
如无法立即升级，参考厂商提供的临时缓解措施
加强网络访问控制和监控

参考链接

💬 评论