- Yama var
- Son 7 gün
- CWE-400
CVE-2026-114103
adm-zip 0.6.0'da getDataAsync üzerinden dekompresyon bombası koruması atlatılabiliyor
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
adm-zip 0.6.0, methods/inflater.js dosyasındaki asenkron getDataAsync yolunu hedefleyerek maxOutputLength korumasının atlatılmasına olanak tanıyan bir dekompresyon bombası koruma atlatma açığı içermektedir. Saldırganlar, sahte ve küçük bildirilmiş boyutlara sahip ZIP girdileri ile yüksek oranlı DEFLATE yükleri hazırlayarak, girdileri asenkron olarak okuyan uygulamalarda belleği tüketebilir.
Kaynaktaki açıklama (İngilizce)
adm-zip 0.6.0 contains a decompression bomb protection bypass that allows attackers to evade the maxOutputLength guard by targeting the asynchronous getDataAsync() path in methods/inflater.js. Attackers can craft ZIP entries with falsified small declared sizes and high-ratio DEFLATE payloads to exhaust memory in applications reading entries asynchronously.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| cthackers adm-zip | ≥ 0.6.0, < 0.6.1 | 0.6.1 |
| 0.6.1 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.