[NEW VULNERABILITY] decompress-zip: GHSA-73v8-v6g4-vrpm Fix Bypass + 4 Additional Vulnerabilities

Offen

#9,724 erstellt am 23.9.2026 1 Kommentar 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 4/5
Geschätzter Aufwand: 3-5 Tage
Anfängerfreundlichkeit: 30/100

Issue-Typ: Bug
Klarheit: Klar beschrieben
Aktivitätsstatus: Aktiv
Tech-Stack: javascript
Bereich: security

Rechercherichtung

The vulnerability is in lib/decompress-zip.js line 94, where indexOf() is used for path validation. Review the decompress-zip package source, understand the zip extraction flow, and test the bypass with a malicious zip file. The fix must properly resolve and contain paths, not just do string prefix matching. Check for similar issues in the codebase and ensure the fix addresses all listed CVEs.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Package Information

Ecosystem: npm
Package: decompress-zip
Affected versions: <= 0.3.3
CWE: CWE-22, CWE-770, CWE-409, CWE-345, CWE-367

Summary

The security fix in v0.3.2 for GHSA-73v8-v6g4-vrpm is INCOMPLETE and can be bypassed. Additionally, 4 new vulnerabilities were discovered.

#	Vulnerability	CVSS 3.1	CWE
1	Path Traversal Fix Bypass	9.1 CRITICAL	CWE-22
2	Memory Exhaustion	7.5 HIGH	CWE-770
3	Zip Bomb	7.5 HIGH	CWE-409
4	Missing Signature Validation	5.3 MEDIUM	CWE-345
5	TOCTOU Race Condition	3.1 LOW	CWE-367

Critical Finding: indexOf() Bypass

File: lib/decompress-zip.js:94

if (destination.indexOf(options.path) !== 0) {
    throw new Error('You cannot extract a file outside of the target path');
}

Bypass: ../extract_pwned/evil.txt passes the check because indexOf() does STRING prefix matching, not PATH containment.

PoC

Target: /project/extract
Malicious entry: ../extract_pwned/evil.txt
Result: File written to /project/extract_pwned/evil.txt (OUTSIDE target)

Reporter

Yahya Ganbarli

Vorherrschende Sprache: Keine Sprachdaten
Sterne: 2.5k
Forks: 772
Ø Merge: 3 T. 15 Std.
Gemergte PRs (30 T.): 46

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus github/advisory-database

GHSA-vxq2-vhm7-7mhq: expand fetch-page-assets affected versions beyond = 1.2.9 Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100

github/advisory-database#9255 · Erstellt am 28.8.2026
GHSA-2jcg-qqmg-46q6 monorepo-symlink-test placeholder version false positive Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100

github/advisory-database#9164 · 1 Reaktion · Erstellt am 19.8.2026
CVE-2026-5598 has incorrect fixed versions for bcprov-jdk packages Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100

github/advisory-database#8994 · Erstellt am 05.8.2026
GHSA-mh99-v99m-4gvg (brace-expansion): flat `<= 5.0.7` range misses backported fixes in 1.x, 2.x and 3.x Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100

github/advisory-database#8898 · 4 Kommentare · 1 Reaktion · Erstellt am 30.7.2026
LDAP Injection in CMAK (Cluster Manager for Apache Kafka) via Search Filter Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100

github/advisory-database#8841 · Erstellt am 28.7.2026

Alle Issues in github/advisory-database