Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-00891

Опубликовано: 27 янв. 2026
Источник: fstec
CVSS3: 8.2
CVSS2: 8.5
EPSS Низкий

Описание

Уязвимость библиотеки node-tar программной платформы Node.js связана с неверным ограничением имени пути к каталогу. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие механизмы безопасности при распаковке специально сформированного TAR-архива

Вендор

Node.js Foundation

Наименование ПО

node-tar

Версия ПО

до 7.5.7 (node-tar)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,2)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование средств межсетевого экранирования для ограничения удалённого доступа к уязвимому программному обеспечению;
- ограничение возможности распаковки архивов, полученных из недоверенных источников;
- использование средств антивирусного программного обеспечения для анализа TAR-файлов, полученных из недоверенных источников;
- использование замкнутой программной среды для работы с TAR-архивами, полученными из недоверенных источников;
- ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»;
- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;
- ограничение доступа из внешних сетей (Интернет).
Использование рекомендаций:
https://github.com/isaacs/node-tar/security/advisories/GHSA-34x7-hfp2-rc4v

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 6%
0.00025
Низкий

8.2 High

CVSS3

8.5 High

CVSS2

Связанные уязвимости

CVSS3: 8.2
ubuntu
7 дней назад

node-tar,a Tar for Node.js, contains a vulnerability in versions prior to 7.5.7 where the security check for hardlink entries uses different path resolution semantics than the actual hardlink creation logic. This mismatch allows an attacker to craft a malicious TAR archive that bypasses path traversal protections and creates hardlinks to arbitrary files outside the extraction directory. Version 7.5.7 contains a fix for the issue.

CVSS3: 8.2
nvd
7 дней назад

node-tar,a Tar for Node.js, contains a vulnerability in versions prior to 7.5.7 where the security check for hardlink entries uses different path resolution semantics than the actual hardlink creation logic. This mismatch allows an attacker to craft a malicious TAR archive that bypasses path traversal protections and creates hardlinks to arbitrary files outside the extraction directory. Version 7.5.7 contains a fix for the issue.

CVSS3: 8.2
debian
7 дней назад

node-tar,a Tar for Node.js, contains a vulnerability in versions prior ...

CVSS3: 8.2
github
7 дней назад

node-tar Vulnerable to Arbitrary File Creation/Overwrite via Hardlink Path Traversal

EPSS

Процентиль: 6%
0.00025
Низкий

8.2 High

CVSS3

8.5 High

CVSS2