Wysoka

tar-fs has a symlink validation bypass if destination directory is predictable with a specific tarball

Ujawniono: 24.09.2025
Aktualizacja: 11.10.2026 10:22

Impact

v3.1.0, v2.1.3, v1.16.5 and below

Patches

Has been patched in 3.1.1, 2.1.4, and 1.16.6

Workarounds

You can use the ignore option to ignore non files/directories.

  ignore (_, header) {
    // pass files & directories, ignore e.g. symlinks
    return header.type !== 'file' && header.type !== 'directory'
  }

Credit

Reported by: Mapta / BugBunny_ai

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	tar-fs	>= 3.0.0, < 3.1.1, >= 2.0.0, < 2.1.4, < 1.16.6	3.1.1, 2.1.4, 1.16.6

Odnośniki

Ocena CVSS -

Wektor CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
Słabość (CWE): CWE-22, CWE-61
Platforma: npm
Paczka: tar-fs
Ujawniono: 24.09.2025
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-vj76-c3g6-qr5v - CC BY 4.0

Historia podatności: tar-fs

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 4
Pierwsza → ostatnia: 05.2019 09.2025
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 4

Ujawnienia w latach

2019: 1
2020: 0
2021: 0
2022: 0
2023: 0
2024: 0
2025: 3
2026: 0

24.09.2025

tar-fs has a symlink validation bypass if destination directory is predictable with a specific tarball ten wpis

Wysoka CVE-2025-59343 >= 3.0.0, < 3.1.1, >= 2.0.0, < 2.1.4, < 1.16.6 3.1.1, 2.1.4, 1.16.6
03.06.2025

tar-fs can extract outside the specified dir with a specific tarball

Wysoka CVE-2025-48387 < 1.16.5, >= 2.0.0, < 2.1.3, >= 3.0.0, < 3.0.9 1.16.5, 2.1.3, 3.0.9
27.03.2025

tar-fs Vulnerable to Link Following and Path Traversal via Extracting a Crafted tar File

Wysoka · 7.5 CVE-2024-12905 < 1.16.4, >= 2.0.0, < 2.1.2, >= 3.0.0, < 3.0.7 1.16.4, 2.1.2, 3.0.7
01.05.2019

Improper Input Validation in tar-fs

Wysoka · 7.5 CVE-2018-20835 < 1.16.2 1.16.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację