Iniciar sesión
Deutsch English Español Polski
Alta

Arbitrary File Overwrite in tar

  • Publicada: 01.05.2019
  • Actualizado: 11.10.2026 10:22

Versions of tar prior to 4.4.2 for 4.x and 2.2.2 for 2.x are vulnerable to Arbitrary File Overwrite. Extracting tarballs containing a hardlink to a file that already exists in the system, and a file that matches the hardlink will overwrite the system's file with the contents of the extracted file.

Recommendation

For tar 4.x, upgrade to version 4.4.2 or later. For tar 2.x, upgrade to version 2.2.2 or later.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de npm tar >= 3.0.0, < 4.4.2, < 2.2.2 4.4.2, 2.2.2

Referencias

Puntuación CVSS 7.5/10
Vector CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Debilidad (CWE)
CWE-59
Plataforma
npm
Paquete
tar
Publicada
01.05.2019
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-j44m-qm6p-hp7m - CC BY 4.0

Historial de vulnerabilidades: tar

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (21) en el archivo
Entradas en total
21
Primera → última
10.2017 07.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 1
  • Alta 15
  • Media 5

Divulgaciones por año

Gravedad:
  1. node-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
    Alta · 7.5 CVE-2026-73566 < 7.5.21 7.5.21
  2. node-tar: Decompression/parse DoS via unlimited input
    Crítica · 7.5 CVE-2026-59873 < 7.5.19 7.5.19
  3. node-tar: Negative tar entry size causes infinite loop in archive replace
    Alta · 7.5 CVE-2026-59874 < 7.5.18 7.5.18
  4. node-tar Symlink Path Traversal via Drive-Relative Linkpath
    Alta CVE-2026-31802 < 7.5.11 7.5.11
  5. tar has Hardlink Path Traversal via Drive-Relative Linkpath
    Alta CVE-2026-29786 < 7.5.10 7.5.10
  6. Arbitrary File Read/Write via Hardlink Target Escape Through Symlink Chain in node-tar Extraction
    Alta · 7.1 CVE-2026-26960 < 7.5.8 7.5.8
  7. node-tar Vulnerable to Arbitrary File Creation/Overwrite via Hardlink Path Traversal
    Alta · 8.2 CVE-2026-24842 < 7.5.7 7.5.7
  8. Race Condition in node-tar Path Reservations via Unicode Ligature Collisions on macOS APFS
    Alta · 8.8 CVE-2026-23950 < 7.5.4 7.5.4
  9. node-tar is Vulnerable to Arbitrary File Overwrite and Symlink Poisoning via Insufficient Path Sanitization
    Alta CVE-2026-23745 < 7.5.3 7.5.3
  10. Arbitrary File Creation/Overwrite via insufficient symlink protection due to directory cache poisoning using symbolic links
    Alta · 8.2 CVE-2021-37701 >= 3.0.0, < 4.4.16, >= 5.0.0, < 5.0.8, >= 6.0.0, < 6.1.7 4.4.16, 5.0.8, 6.1.7
  11. Arbitrary File Creation/Overwrite via insufficient symlink protection due to directory cache poisoning using symbolic links
    Alta · 8.2 CVE-2021-37712 >= 3.0.0, < 4.4.18, >= 5.0.0, < 5.0.10, >= 6.0.0, < 6.1.9 4.4.18, 5.0.10, 6.1.9
  12. Arbitrary File Creation/Overwrite on Windows via insufficient relative path sanitization
    Alta · 8.2 CVE-2021-37713 < 4.4.18, >= 5.0.0, < 5.0.10, >= 6.0.0, < 6.1.9 4.4.18, 5.0.10, 6.1.9
  13. Arbitrary File Creation/Overwrite due to insufficient absolute path sanitization
    Alta · 8.2 CVE-2021-32804 < 3.2.2, >= 4.0.0, < 4.4.14, >= 5.0.0, < 5.0.6, >= 6.0.0, < 6.1.1 3.2.2, 4.4.14, 5.0.6, 6.1.1
  14. Arbitrary File Creation/Overwrite via insufficient symlink protection due to directory cache poisoning
    Alta · 8.2 CVE-2021-32803 >= 3.0.0, < 3.2.3, >= 4.0.0, < 4.4.15, >= 5.0.0, < 5.0.7, >= 6.0.0, < 6.1.2 3.2.3, 4.4.15, 5.0.7, 6.1.2
  15. Arbitrary File Overwrite in tar esta entrada
    Alta · 7.5 CVE-2018-20834 >= 3.0.0, < 4.4.2, < 2.2.2 4.4.2, 2.2.2
  16. Symlink Arbitrary File Overwrite in tar
    Alta · 7.5 CVE-2015-8860 < 2.0.0 2.0.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.