CVE-2026-114104
Publiée le 2026-10-21 · Dernière modification le 2026-10-21
Les versions d'adm-zip antérieures à 0.6.1 constituent une bibliothèque Node.js utilisée pour lire et écrire des archives ZIP. La faille provient d'une incohérence dans la manière dont la bibliothèque gère les noms de fichiers en double au sein d'une même archive. Alors qu'un contrôle de sécurité peut valider la dernière occurrence d'un nom de fichier, le processus d'extraction écrit en réalité la première occurrence sur le disque, permettant ainsi à des fichiers malveillants de contourner la validation.
Un attaquant peut utiliser cette vulnérabilité pour écrire des fichiers non validés ou malveillants directement sur le système de fichiers de votre serveur, compromettant ainsi l'intégrité de vos données. Cela nécessite un accès réseau et la possibilité de téléverser un fichier ZIP spécialement conçu que votre application traitera ensuite. Bien que la complexité de l'attaque soit élevée, aucune authentification ni interaction de l'utilisateur n'est requise pour déclencher l'exploit.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
adm-zip before 0.6.1 contains an inconsistent entry resolution vulnerability that allows attackers to bypass content validation by supplying ZIP archives with duplicate entry names. Attackers can craft archives where getEntry() returns the last duplicate while extractAllTo() writes the first, causing unvalidated bytes to be written to disk.