adm-zip : élévation de privilèges possible lors de l’extraction d’archives ZIP

Veille sécuritéBackend & données

P3Élevée

Une archive ZIP spécialement conçue peut faire créer par adm-zip un fichier extrait avec les bits setuid/setgid/sticky lorsque `keepOriginalPermission=true` est utilisé. Si l’extraction s’effectue avec les privilèges root, cela peut permettre une élévation de privilèges ; la version 0.6.1 corrige le problème.

IdentifiantCVE-2026-102282

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif0.6.1

Source : NVD — CVE-2026-102282

Analyse technique

`extractAllTo()` ou `extractEntryTo()` applique directement les permissions Unix de l’entrée ZIP via `fs.chmodSync()` lorsque `keepOriginalPermission=true`, sans filtrer certains bits spéciaux.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-05 à 17:17:08 UTC, soit le 2026-10-05 à 19:17:08 +02:00, dans la période demandée.

ImpactUne archive malveillante peut conduire à l’exécution de code avec des privilèges élevés dans les conditions décrites.

Versions affectéesVersions antérieures à 0.6.1 ; la source ne précise pas la version initiale affectée.

Version corrigée0.6.1

ContournementNe pas activer keepOriginalPermission pour extraire des archives non fiables; éviter l’extraction avec des privilèges élevés.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.1

Publication2026-10-05T19:17:08.110+02:00

Mise à jour2026-10-05T19:17:09.230+02:00

Détection / vérification

Vérifier si l’extraction d’archives utilise `keepOriginalPermission=true`, notamment dans des environnements privilégiés.

Action recommandée

Mettre à niveau adm-zip vers 0.6.1 et éviter d’extraire des archives non fiables avec des privilèges élevés.

Sources

NVD — CVE-2026-102282

Priorisation DFS : P3 · 1 source(s).