[NEW VULNERABILITY] decompress-zip: GHSA-73v8-v6g4-vrpm Fix Bypass + 4 Additional Vulnerabilities
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 4/5
- Tempo estimado
- 3-5 dias
- Facilidade para iniciantes
- 30/100
- Tipo de issue
- Bug
- Clareza
- Claramente especificada
- Status de atividade
- Ativa
- Stack de tecnologia
- javascript
- Domínio
- security
Direção de pesquisa
The vulnerability is in lib/decompress-zip.js line 94, where indexOf() is used for path validation. Review the decompress-zip package source, understand the zip extraction flow, and test the bypass with a malicious zip file. The fix must properly resolve and contain paths, not just do string prefix matching. Check for similar issues in the codebase and ensure the fix addresses all listed CVEs.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
Package Information
- Ecosystem: npm
- Package: decompress-zip
- Affected versions: <= 0.3.3
- CWE: CWE-22, CWE-770, CWE-409, CWE-345, CWE-367
Summary
The security fix in v0.3.2 for GHSA-73v8-v6g4-vrpm is INCOMPLETE and can be bypassed. Additionally, 4 new vulnerabilities were discovered.
| # | Vulnerability | CVSS 3.1 | CWE |
|---|---|---|---|
| 1 | Path Traversal Fix Bypass | 9.1 CRITICAL | CWE-22 |
| 2 | Memory Exhaustion | 7.5 HIGH | CWE-770 |
| 3 | Zip Bomb | 7.5 HIGH | CWE-409 |
| 4 | Missing Signature Validation | 5.3 MEDIUM | CWE-345 |
| 5 | TOCTOU Race Condition | 3.1 LOW | CWE-367 |
Critical Finding: indexOf() Bypass
File: lib/decompress-zip.js:94
if (destination.indexOf(options.path) !== 0) {
throw new Error('You cannot extract a file outside of the target path');
}
Bypass: ../extract_pwned/evil.txt passes the check because indexOf() does STRING prefix matching, not PATH containment.
PoC
Target: /project/extract
Malicious entry: ../extract_pwned/evil.txt
Result: File written to /project/extract_pwned/evil.txt (OUTSIDE target)
Reporter
Yahya Ganbarli - Linguagem predominante
- Sem dados de linguagem
- Estrelas
- 2.5k
- Forks
- 772
- Merge médio
- 4d 17h
- PRs com merge (30d)
- 75
Guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de github/advisory-database
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
github/advisory-database#9255 ·
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 72/100
github/advisory-database#9164 · 1 reação ·
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 72/100
github/advisory-database#8994 ·
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
github/advisory-database#8898 · 4 comentários · 1 reação ·
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 72/100
github/advisory-database#8841 ·
Todas as issues de github/advisory-database
Issues semelhantes
-
Add a SECURITY.md Aberta
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 90/100
ElementsProject/cln-application#167 · 1 comentário · 1 reação ·
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 70/100
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 70/100
confident-ai/deepteam#289 ·
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 65/100
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 70/100
VirusTotal/yara-x#780 ·