Alta

tar-fs has a symlink validation bypass if destination directory is predictable with a specific tarball

Publicada: 24.09.2025
Actualizado: 11.10.2026 10:22

Impact

v3.1.0, v2.1.3, v1.16.5 and below

Patches

Has been patched in 3.1.1, 2.1.4, and 1.16.6

Workarounds

You can use the ignore option to ignore non files/directories.

  ignore (_, header) {
    // pass files & directories, ignore e.g. symlinks
    return header.type !== 'file' && header.type !== 'directory'
  }

Credit

Reported by: Mapta / BugBunny_ai

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	tar-fs	>= 3.0.0, < 3.1.1, >= 2.0.0, < 2.1.4, < 1.16.6	3.1.1, 2.1.4, 1.16.6

Referencias

Puntuación CVSS -

Vector CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
Debilidad (CWE): CWE-22, CWE-61
Plataforma: npm
Paquete: tar-fs
Publicada: 24.09.2025
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-vj76-c3g6-qr5v - CC BY 4.0

Historial de vulnerabilidades: tar-fs

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 4
Primera → última: 05.2019 09.2025
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 4

Divulgaciones por año

2019: 1
2020: 0
2021: 0
2022: 0
2023: 0
2024: 0
2025: 3
2026: 0

24.09.2025

tar-fs has a symlink validation bypass if destination directory is predictable with a specific tarball esta entrada

Alta CVE-2025-59343 >= 3.0.0, < 3.1.1, >= 2.0.0, < 2.1.4, < 1.16.6 3.1.1, 2.1.4, 1.16.6
03.06.2025

tar-fs can extract outside the specified dir with a specific tarball

Alta CVE-2025-48387 < 1.16.5, >= 2.0.0, < 2.1.3, >= 3.0.0, < 3.0.9 1.16.5, 2.1.3, 3.0.9
27.03.2025

tar-fs Vulnerable to Link Following and Path Traversal via Extracting a Crafted tar File

Alta · 7.5 CVE-2024-12905 < 1.16.4, >= 2.0.0, < 2.1.2, >= 3.0.0, < 3.0.7 1.16.4, 2.1.2, 3.0.7
01.05.2019

Improper Input Validation in tar-fs

Alta · 7.5 CVE-2018-20835 < 1.16.2 1.16.2

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación