p PatchFirst

CVE-2026-114103

CVE-2026-114103 · adm-zip 0.6.0 Decompression Bomb Guard Bypass via getDataAsync()

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

adm-zip 0.6.0 contains a decompression bomb protection bypass that allows attackers to evade the maxOutputLength guard by targeting the asynchronous getDataAsync() path in methods/inflater.js. Attackers can craft ZIP entries with falsified small declared sizes and high-ratio DEFLATE payloads to exhaust memory in applications reading entries asynchronously.

CVSS 6.9 · Средний · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • adm-zip

    Версии
    • ≥ 0.6.0, < 0.6.1: Затронуто (semver)
    • 0.6.1: Не затронуто (semver)

    Обновитесь до 0.6.1

  • adm-zip npm

    Затронутые диапазоны версий
    • SEMVER: < 0.6.1

    Обновитесь до 0.6.1

Первоисточники

Проверьте свой сервер →