- Yama var
- Son 7 gün
- CWE-248
CVE-2026-114102
adm-zip'te asenkron inflate işleminde işlenmeyen hata nedeniyle hizmet dışı bırakma
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
adm-zip 0.6.1 sürümünden önceki sürümler, kimlik doğrulaması yapılmamış saldırganların hatalı biçimlendirilmiş bir ZIP dosyasıyla Node.js sürecini çökertmesine izin veren bir hizmet dışı bırakma (denial of service) açığı içerir. Bunun nedeni, methods/inflater.js içindeki inflateAsync fonksiyonunda bir zlib akış hatası dinleyicisinin bulunmamasıdır. Saldırganlar, readFileAsync, readAsTextAsync, extractAllToAsync veya getDataAsync fonksiyonları tarafından işlenen, bozuk DEFLATE verisi içeren bir ZIP dosyası sunabilir. Bu durum, yakalanamayan bir istisnaya yol açarak işlem sırasındaki tüm istekleri sonlandırır.
Kaynaktaki açıklama (İngilizce)
adm-zip before 0.6.1 contains a denial of service vulnerability that allows unauthenticated attackers to crash the Node.js process via a malformed ZIP file, because inflateAsync in methods/inflater.js lacks a zlib stream error listener. Attackers can supply a ZIP with corrupted DEFLATE data processed by readFileAsync, readAsTextAsync, extractAllToAsync, or getDataAsync, triggering an uncatchable exception that terminates all in-flight requests.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| cthackers adm-zip | < 0.6.1 | 0.6.1 |
| 0.6.1 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.