decompress : contournement du répertoire d’extraction par liens symboliques en chaîne

Veille sécuritéBackend & données

P3Critique

Le paquet Node.js decompress et son successeur maintenu @xhmikosr/decompress peuvent extraire des entrées d’archive au-delà du répertoire de destination lorsque des liens symboliques sont enchaînés. Une archive malveillante peut ainsi entraîner la lecture ou l’écriture de fichiers hors du répertoire, avec un risque d’exécution de code si des fichiers de démarrage ou de configuration sont écrasés.

IdentifiantCVE-2026-101894

GravitéCritique

Exploitationnon connue / non déterminée

Correctif@xhmikosr/decompress 10.2.2 ou 11.1.4

Source : NVD — CVE-2026-101894

Analyse technique

Les contrôles de confinement lexical ne tiennent pas compte de la résolution par le système des chaînes de liens symboliques plantées dans l’archive. Le bulletin décrit cette faille comme un contournement du correctif incomplet de CVE-2026-53486.

Impact, versions et correctif

Événement datéNouvelle fiche publiée pendant la période demandée : 2026-09-28T17:17:48.830Z.

ImpactLecture ou écriture de fichiers hors du répertoire d’extraction, pouvant mener à l’exécution de code.

Versions affectées@xhmikosr/decompress avant 10.2.2 et avant 11.1.4. Le paquet decompress distinct et non maintenu reste non corrigé jusqu’à la version 4.2.1 incluse, selon les informations fournies.

Version corrigée@xhmikosr/decompress 10.2.2 ou 11.1.4

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.1

Publication2026-09-28T17:17:48.830Z

Mise à jour2026-09-28T18:17:17.730Z

Détection / vérification

Identifier les dépendances decompress et @xhmikosr/decompress ainsi que leurs versions dans les fichiers de verrouillage et les images déployées.

Action recommandée

Mettre à jour @xhmikosr/decompress vers 10.2.2 ou 11.1.4. Le paquet decompress non maintenu est indiqué comme non corrigé dans les versions citées.

Sources

Priorisation DFS : P3 · 2 source(s).