cthackers/adm-zip

Version 0.5.10 ZipSlip vulnerability

Fechada

#462 aberto em 3 de ago. de 2023

Ver no GitHub
 (1 comentário) (0 reação) (0 responsável)JavaScript (381 forks)batch import
help wantedsecurity

Métricas do repositório

Stars
 (2.177 estrelas)
Métricas de merge de PR
 (Mesclagem média 108d 17h) (5 fundiu PRs em 30d)

Description

For version 0.5.10 we still able to replicate ZipSlip vulnerability, please help to look into it.

Guia do colaborador

Direção de pesquisa
Investigue o método extractAllTo no código fonte do adm zip. A vulnerabilidade ZipSlip normalmente ocorre quando os nomes dos arquivos não são sanitizados para evitar travessia de diretório. Examine como os caminhos dos arquivos são construídos durante a extração e garanta que os caminhos sejam normalizados e verificados em relação ao diretório de destino. Considere revisar quaisquer PRs ou comentários existentes para possíveis correções.
Pilha de tecnologia
javascript
Domain
backend
Tipo Issue
Segurança
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
JavaScriptNode.jsZip file handling
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
40