BDU:2026-00589

Опубликовано: 16 янв. 2026

Источник: fstec

CVSS3: 8.6

CVSS2: 7.2

EPSS Низкий

Описание

Уязвимость библиотеки node-tar программной платформы Node.js связана с неверным ограничением имени пути к каталогу при обработке параметра preservePaths. Эксплуатация уязвимости может позволить нарушителю обойти существующие механизмы безопасности и выполнить произвольный код при распаковке специально сформированного TAR-архива

Вендор

Node.js Foundation

Наименование ПО

Node.js

node-tar

Версия ПО

- (Node.js)

до 7.5.3 (node-tar)

Тип ПО

Сетевое программное средство

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,2)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,6)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничение возможности распаковки архивов, полученных из недоверенных источников;

- использование средств антивирусного программного обеспечения для анализа TAR-файлов, полученных из недоверенных источников;

- использование замкнутой программной среды для работы с XML-файлами, полученными из недоверенных источников;

- использование SIEM-систем для отслеживания событий, связанных с распаковкой TAR-архивов.

Использование рекомендаций:

https://github.com/isaacs/node-tar/security/advisories/GHSA-8qq5-rm4j-mr97

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://github.com/isaacs/node-tar/security/advisories/GHSA-8qq5-rm4j-mr97

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-23745
CVE

EPSS

Процентиль: 0%

0.00007

Низкий

8.6 High

CVSS3

7.2 High

CVSS2

Связанные уязвимости

CVE-2026-23745

ubuntu

18 дней назад

node-tar is a Tar for Node.js. The node-tar library (<= 7.5.2) fails to sanitize the linkpath of Link (hardlink) and SymbolicLink entries when preservePaths is false (the default secure behavior). This allows malicious archives to bypass the extraction root restriction, leading to Arbitrary File Overwrite via hardlinks and Symlink Poisoning via absolute symlink targets. This vulnerability is fixed in 7.5.3.

CVE-2026-23745

nvd

18 дней назад

CVE-2026-23745

debian

18 дней назад

node-tar is a Tar for Node.js. The node-tar library (<= 7.5.2) fails t ...

GHSA-8qq5-rm4j-mr97

github

18 дней назад

node-tar is Vulnerable to Arbitrary File Overwrite and Symlink Poisoning via Insufficient Path Sanitization

EPSS

Процентиль: 0%

0.00007

Низкий

8.6 High

CVSS3

7.2 High

CVSS2