Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-09561

Опубликовано: 15 июн. 2026
Источник: fstec
CVSS3: 8.1
CVSS2: 9.4
EPSS Низкий

Описание

Уязвимость механизма обработки символических ссылок npm-библиотеки extract-zip связана с ошибками обработки ссылок. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

extract-zip

Версия ПО

до 2.0.1 включительно (extract-zip)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,1)
Высокий уровень опасности (оценка CVSS 4.0 составляет 8,6)

Возможные меры по устранению уязвимости

Коспенсирующие меры:
- использование средств межсетевого экранирования для ограничения удалённого доступа к уязвимому программному обеспечению;
- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;
- использование средств резервного копирования для обеспечения возможности восстановления системы после эксплуатации уязвимости;
- ограничение доступа из внешних сетей (Интернет);
- ограничить или полностью запретить обработку ZIP-архивов, полученных из недоверенных и внешних источников;
- перед распаковкой проверять содержимое архива и отклонять архивы, содержащие символические ссылки;
- проверять абсолютный нормализованный путь каждого элемента архива и каждой символической ссылки;
- убедиться, что путь находится внутри назначенного каталога распаковки;
- выполнять распаковку в отдельном временном каталоге, не содержащем ранее созданных файлов и символических ссылок и не доступным для изменения непривилегированным пользователям;
- запускать процесс распаковки от отдельной непривилегированной учётной записи с минимальными правами на файловую систему;
- выполнять распаковку в изолированной среде;
- не открывать, не копировать и не обрабатывать извлечённые файлы до завершения повторной проверки каталога.

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

EPSS

Процентиль: 27%
0.00346
Низкий

8.1 High

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

CVSS3: 8.1
ubuntu
около 1 месяца назад

extract-zip does not validate symlink targets when extracting zip archives. When processing a malicious zip file containing a symlink with a relative path like '../../../../etc/passwd', extract-zip will extract the symlink without validation, allowing it to point outside the extraction directory. Depending on how extract-zip is used, an attacker could read or write to arbitrary files.

CVSS3: 8.1
redhat
около 1 месяца назад

extract-zip does not validate symlink targets when extracting zip archives. When processing a malicious zip file containing a symlink with a relative path like '../../../../etc/passwd', extract-zip will extract the symlink without validation, allowing it to point outside the extraction directory. Depending on how extract-zip is used, an attacker could read or write to arbitrary files.

CVSS3: 8.1
nvd
около 1 месяца назад

extract-zip does not validate symlink targets when extracting zip archives. When processing a malicious zip file containing a symlink with a relative path like '../../../../etc/passwd', extract-zip will extract the symlink without validation, allowing it to point outside the extraction directory. Depending on how extract-zip is used, an attacker could read or write to arbitrary files.

CVSS3: 8.1
debian
около 1 месяца назад

extract-zip does not validate symlink targets when extracting zip arch ...

CVSS3: 8.1
github
около 1 месяца назад

extract-zip does not validate symlink targets when extracting zip archives. When processing a malicious zip file containing a symlink with a relative path like '../../../../etc/passwd', extract-zip will extract the symlink without validation, allowing it to point outside the extraction directory. Depending on how extract-zip is used, an attacker could read or write to arbitrary files.

EPSS

Процентиль: 27%
0.00346
Низкий

8.1 High

CVSS3

9.4 Critical

CVSS2