BDU:2026-09561: Уязвимость механизма обработки символических ссылок npm-библиотеки extract-zip, позволяющая нарушителю выполнить произвольный код

Уязвимость механизма обработки символических ссылок npm-библиотеки extract-zip связана с ошибками обработки ссылок. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Коспенсирующие меры: - использование средств межсетевого экранирования для ограничения удалённого доступа к уязвимому программному обеспечению; - использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей; - использование средств резервного копирования для обеспечения возможности восстановления системы после эксплуатации уязвимости; - ограничение доступа из внешних сетей (Интернет); - ограничить или полностью запретить обработку ZIP-архивов, полученных из недоверенных и внешних источников; - перед распаковкой проверять содержимое архива и отклонять архивы, содержащие символические ссылки; - проверять абсолютный нормализованный путь каждого элемента архива и каждой символической ссылки; - убедиться, что путь находится внутри назначенного каталога распаковки; - выполнять распаковку в отдельном временном каталоге, не содержащем ранее созданных файлов и символических ссылок и не доступным для изменения непривилегированным пользователям; - запускать процесс распаковки от отдельной непривилегированной учётной записи с минимальными правами на файловую систему; - выполнять распаковку в изолированной среде; - не открывать, не копировать и не обрабатывать извлечённые файлы до завершения повторной проверки каталога.

• https://github.com/ziad626/CVE-2026-56876-POC https://github.com/max-mapper/extr…