decompress: Arbitrary File Write via Archive Extraction (Zip Slip)
All versions of the package decompress are vulnerable to Arbitrary File Write via Archive Extraction (Zip Slip) when extracting a ZIP archive containing two entries with the same path - the first being a symlink to an arbitrary target and the second being a regular file - the file content is written through the symlink to the target location outside the output directory. This is due to the microtask processing order that checks readlink for the second file before resolving symlink for the first file. An attacker can write arbitrary files on the host filesystem potentially leading to remote code execution by providing a specially crafted ZIP archive.
Note:
This bypasses all existing path traversal protections including preventWritingThroughSymlink, added as a part of the fix for CVE-2020-12265.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | decompress | <= 4.2.1 | sin corrección |
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2026-10732
- https://github.com/kevva/decompress/pull/112
- https://access.redhat.com/security/cve/CVE-2026-10732
- https://bugzilla.redhat.com/show_bug.cgi?id=2485376
- https://gist.github.com/Alemmi/409c3cc148c39522c6d6a8538b0e1f9e
- https://github.com/kevva/decompress
- https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-10732.json
- https://security.snyk.io/vuln/SNYK-JS-DECOMPRESS-16415209
- Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:H/A:L- Debilidad (CWE)
CWE-22, CWE-29- Plataforma
- npm
- Paquete
decompress- Publicada
- 05.06.2026
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-h39j-r5qq-r9mm - CC BY 4.0
Historial de vulnerabilidades: decompress
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 5
- Primera → última
- 09.2020 09.2026
- Sin corrección
- 4
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 3
- Media 2
Divulgaciones por año
- 2020: 1
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 4
-
decompress: Arbitrary File Write via Archive Extraction (Zip Slip) esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.