CVE-2026-116137
Publiée le 2026-10-25 · Dernière modification le 2026-10-25
Les versions d'adm-zip jusqu'à et y compris la 0.6.1 constituent une bibliothèque Node.js utilisée pour lire et écrire des archives ZIP. La faille réside dans un contournement de validation où le logiciel ne reconnaît pas que des noms de fichiers différents, tels que « hello.txt » et « ./hello.txt », font référence au même fichier. Cela permet à une archive de contenir des entrées en double qui semblent uniques lors de certains contrôles, mais qui s'écrasent mutuellement lors de l'extraction.
Un attaquant peut utiliser cela pour contourner des filtres de sécurité, trompant ainsi une application pour qu'elle valide un fichier bénin tout en extrayant en réalité un fichier malveillant sur le disque. Cela impacte l'intégrité du système de fichiers où l'archive est décompressée. L'attaque est relativement facile à exécuter via un réseau et ne nécessite aucune authentification, bien qu'elle dépende du fait que l'application cible accepte et extraie un fichier ZIP fourni par l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
adm-zip through 0.6.1 contains a duplicate-entry validation bypass that allows attackers to evade the readEntries() check by using canonically equivalent entry names like './hello.txt' and 'hello.txt'. Attackers can craft ZIP archives where getEntry() or readAsText() validates benign content while extractAllTo() writes malicious content to the same path, bypassing integrity checks.