p PatchFirst

CVE-2026-24842

CVE-2026-24842 · node-tar Vulnerable to Arbitrary File Creation/Overwrite via Hardlink Path Traversal

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

node-tar,a Tar for Node.js, contains a vulnerability in versions prior to 7.5.7 where the security check for hardlink entries uses different path resolution semantics than the actual hardlink creation logic. This mismatch allows an attacker to craft a malicious TAR archive that bypasses path traversal protections and creates hardlinks to arbitrary files outside the extraction directory. Version 7.5.7 contains a fix for the issue.

CVSS 8.2 · Высокий · EPSS 0,6% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • node-tar

    Версии
    • < 7.5.7: Затронуто

    Нет опубликованного исправления

  • node-tar Debian:14

    Версии
    • 6.2.1+ds1+~cs6.1.13-1
    • 6.2.1+ds1+~cs6.1.13-2
    • 6.2.1+ds1+~cs6.1.13-3
    • 6.2.1+ds1+~cs6.1.13-4
    • 6.2.1+ds1+~cs6.1.13-5
    • 6.2.1+ds1+~cs6.1.13-6
    • 6.2.1+ds1+~cs6.1.13-7
    • 6.2.1+ds1+~cs6.1.13-8
    • 6.2.1+ds1+~cs6.1.13-9
    • 6.2.1+~cs7.0.8-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 6.2.1+ds1+~cs6.1.13-10

    Обновитесь до 6.2.1+ds1+~cs6.1.13-10

  • tar npm

    Затронутые диапазоны версий
    • SEMVER: < 7.5.7

    Обновитесь до 7.5.7

  • node-tar Ubuntu:Pro:14.04:LTS

    Версии
    • 0.1.18-1
    • 0.1.18-1ubuntu0.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-tar Ubuntu:Pro:16.04:LTS

    Версии
    • 1.0.3-2
    • 1.0.3-2ubuntu0.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-tar Ubuntu:18.04:LTS

    Версии
    • 2.2.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-tar Ubuntu:Pro:20.04:LTS

    Версии
    • 4.4.10+ds1-2
    • 4.4.10+ds1-2ubuntu1
    • 4.4.10+ds1-2ubuntu1+esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-tar Ubuntu:22.04:LTS

    Версии
    • 6.1.7+~cs11.3.10-1
    • 6.1.11+~cs11.3.10-1
    • 6.1.11+ds1+~cs6.0.6-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-tar Ubuntu:24.04:LTS

    Версии
    • 6.1.13+~cs7.0.5-1
    • 6.1.13+~cs7.0.5-3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-tar Ubuntu:25.10

    Версии
    • 6.2.1+~cs7.0.8-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-tar Ubuntu:26.10

    Версии
    • 6.2.1+ds1+~cs6.1.13-10
    • 7.5.22+~4.0.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-tar Ubuntu:26.04:LTS

    Версии
    • 6.2.1+~cs7.0.8-1
    • 6.2.1+ds1+~cs6.1.13-6
    • 6.2.1+ds1+~cs6.1.13-7
    • 6.2.1+ds1+~cs6.1.13-10
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →