جزئیات آسیب‌پذیری
CVE-2026-87794
nfriedly bestzip
bestzip 2.2.6 and 3.0.2 Argument Injection via the Native Zip Destination
CVSS 4.0
8.6بالا
شرح رسمی (انگلیسی)
bestzip versions 2.2.6 and 3.0.2 contain an argument injection vulnerability in the nativeZip function that allows attackers to inject arbitrary arguments to the Info-ZIP backend. Attackers can supply a malicious destination path combined with crafted source entries to execute arbitrary commands with Node.js process privileges. Fixed in 2.2.7 and 3.0.3.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.6بالا | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
| 8.4بالا | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| nfriedly | bestzip | 2.2.6 ≤ v < 2.2.7 | CVEProject cvelistV5 (CNA) |
| nfriedly | bestzip | 3.0.2 ≤ v < 3.0.3 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۷- https://github.com/nfriedly/node-bestzip/security/advisories/GHSA-xhwx-rch4-ph2v vendor-advisory
- https://github.com/nfriedly/node-bestzip/commit/2adb637b0acb05b8475de7db5af4b86ffcf40aaf patch
- https://github.com/nfriedly/node-bestzip/blob/v3.0.2/lib/bestzip.js technical-description
- https://github.com/nfriedly/node-bestzip/security/advisories/GHSA-p87m-9567-rgcc relatedvendor-advisory
- https://www.npmjs.com/package/bestzip product
- https://github.com/nfriedly/node-bestzip product
- https://www.vulncheck.com/advisories/bestzip-2.2.6-and-3.0.2-argument-injection-via-the-native-zip-destination third-party-advisory
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۶/۱۸
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۶/۲۷
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulnCheck
پیش‌بینی بهره‌برداری (EPSS)
۰٫۲۸٪
احتمال بهره‌برداری در ۳۰ روز
۲۰٫۵٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-88Improper Neutralization of Argument Delimiters in a Command ('Argument Injection')