Wysoka

tar-fs can extract outside the specified dir with a specific tarball

Ujawniono: 03.06.2025
Aktualizacja: 11.10.2026 10:22

Impact

v3.0.8, v2.1.2, v1.16.4 and below

Patches

Has been patched in 3.0.9, 2.1.3, and 1.16.5

Workarounds

You can use the ignore option to ignore non files/directories.

  ignore (_, header) {
    // pass files & directories, ignore e.g. symlinks
    return header.type !== 'file' && header.type !== 'directory'
  }

Credit

Thank you Caleb Brown from Google Open Source Security Team for reporting this in detail.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	tar-fs	< 1.16.5, >= 2.0.0, < 2.1.3, >= 3.0.0, < 3.0.9	1.16.5, 2.1.3, 3.0.9

Odnośniki

Ocena CVSS -

Wektor CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
Słabość (CWE): CWE-22
Platforma: npm
Paczka: tar-fs
Ujawniono: 03.06.2025
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-8cj5-5rvv-wf4v - CC BY 4.0

Historia podatności: tar-fs

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 4
Pierwsza → ostatnia: 05.2019 09.2025
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 4

Ujawnienia w latach

2019: 1
2020: 0
2021: 0
2022: 0
2023: 0
2024: 0
2025: 3
2026: 0

24.09.2025

tar-fs has a symlink validation bypass if destination directory is predictable with a specific tarball

Wysoka CVE-2025-59343 >= 3.0.0, < 3.1.1, >= 2.0.0, < 2.1.4, < 1.16.6 3.1.1, 2.1.4, 1.16.6
03.06.2025

tar-fs can extract outside the specified dir with a specific tarball ten wpis

Wysoka CVE-2025-48387 < 1.16.5, >= 2.0.0, < 2.1.3, >= 3.0.0, < 3.0.9 1.16.5, 2.1.3, 3.0.9
27.03.2025

tar-fs Vulnerable to Link Following and Path Traversal via Extracting a Crafted tar File

Wysoka · 7.5 CVE-2024-12905 < 1.16.4, >= 2.0.0, < 2.1.2, >= 3.0.0, < 3.0.7 1.16.4, 2.1.2, 3.0.7
01.05.2019

Improper Input Validation in tar-fs

Wysoka · 7.5 CVE-2018-20835 < 1.16.2 1.16.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację