CVE-2026-39243— decompress <4.2.2硬链接验证缺失致文件泄露
Possible ATT&CK Techniques 1AI
T1083 · File and Directory Discovery新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2026-39243の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
N/A
ソース: NVD (National Vulnerability Database)
脆弱性説明
decompress before 4.2.2 allows arbitrary hardlink creation during archive extraction, enabling file read disclosure and file corruption. When processing hardlink entries (type === 'link'), the x.linkname field from the archive is passed directly to fs.link() without validation (index.js line 113). An attacker can craft an archive with a hardlink entry whose linkname is an absolute path to any file on the same filesystem. This creates a hardlink inside the extraction directory that shares the same inode as the target file, enabling both reading and overwriting the original file's content. Hardlinks are limited to files on the same filesystem and cannot target directories.
ソース: NVD (National Vulnerability Database)
CVSS情報
N/A
ソース: NVD (National Vulnerability Database)
脆弱性タイプ
N/A
ソース: NVD (National Vulnerability Database)
影響を受ける製品
| ベンダー | プロダクト | 影響を受けるバージョン | CPE | 購読 |
|---|---|---|---|---|
| - | n/a | n/a | - |
II. CVE-2026-39243の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2026-39243のインテリジェンス情報
请登录查看更多情报信息。
CVE-2026-39243 新闻报道 (1)
CVE-2026-39243 厂商页面 (1)
CVE-2026-39243 其他参考 (1)
Same Patch Batch · n/a · 2026-07-09 · 25 CVEs total
| CVE-2026-15187 | 4.3 MEDIUM | enquirer Public Package API Enquirer.set prototype pollution |
| CVE-2026-15202 | 4.3 MEDIUM | YzmCMS Header yzmphp.php get_url cross site scripting |
| CVE-2026-15194 | 3.3 LOW | Open5GS AMF context.c amf_context_final use after free |
| CVE-2026-15185 | 3.3 LOW | GPAC MP4Box vobsub.c vobsub_read_idx out-of-bounds |
| CVE-2026-38076 | Artifex jbig2整数溢出致DoS漏洞 | |
| CVE-2026-39246 | decompress<4.2.2符号链接创建漏洞 | |
| CVE-2026-39245 | decompress <4.2.2 目录遍历与任意文件写入漏洞 | |
| CVE-2025-45422 | Proximus b-box v8c.725A 端口转发规则越权访问漏洞 | |
| CVE-2026-31267 | Mercusys MW302R V1.4.10 Web界面缓冲区溢出漏洞 | |
| CVE-2026-51923 | docuForm Client v11.11c IDOR漏洞致任意代码执行 | |
| CVE-2026-51925 | docuForm Client v11.11c LFI导致远程代码执行 | |
| CVE-2026-51926 | docuForm FSM Client v11.11c用户枚举漏洞 | |
| CVE-2026-51924 | docuForm Client v11.11c任意代码执行漏洞 | |
| CVE-2025-63579 | Kyocera多功能打印机地址簿信息泄露漏洞 | |
| CVE-2026-51602 | 腾达CP3 V3.0 RTSP栈溢出致DoS | |
| CVE-2026-51598 | 水星 MIPC252W v1.0.5 RTSP拒绝服务漏洞 | |
| CVE-2026-51599 | MERCURY MIPC252W v1.0.5 RTSP服务拒绝服务漏洞 | |
| CVE-2026-51597 | 水星MIPC252W v1.0.5 RTSP重放认证绕过漏洞 | |
| CVE-2026-51603 | Tenda CP3 V3.0 RTSP服务栈溢出导致拒绝服务 | |
| CVE-2026-51601 | Tenda CP3 V31.1.9.91 RTSP服务栈溢出致崩溃 |
Showing 20 of 25 CVEs. View all on vendor page →
IV. 関連脆弱性
同じベンダー: n/a
- CVE-2026-15321
MyEMS Admin Backend svg.py on_post cross site scripting - CVE-2026-15202
YzmCMS Header yzmphp.php get_url cross site scripting - CVE-2026-15194
Open5GS AMF context.c amf_context_final use after free - CVE-2026-15187
enquirer Public Package API Enquirer.set prototype pollution - CVE-2026-15185
GPAC MP4Box vobsub.c vobsub_read_idx out-of-bounds
V. CVE-2026-39243へのコメント
まだコメントはありません