esm.sh présente un traversée de chemin dans extractPackageTarball qui permet des écritures de fichiers à partir de paquets malveillants

L'exploitation réussie de cette vulnérabilité permet à un attaquant de lire des fichiers sensibles situés en dehors du répertoire prévu par l'application. En incluant des chemins absolus ou des séquences de traversal de chemin (par exemple, ../..) dans une tarball, un attaquant peut potentiellement accéder à des fichiers de configuration, des clés privées, des données sensibles ou même exécuter du code arbitraire si le système est configuré de manière à permettre l'exécution de code à partir de fichiers extraits. Le risque est exacerbé si l'application est utilisée dans un environnement où elle a accès à des ressources partagées ou à des données critiques. Cette vulnérabilité présente un risque élevé car elle peut être exploitée sans authentification.

Applications and services that rely on esm.sh to load JavaScript modules are at risk. This includes projects using esm.sh as a CDN or module resolver. Developers who have integrated esm.sh into their build processes or deployment pipelines should prioritize upgrading to the patched version.

• linux / server:

journalctl -u esm.sh -f | grep -i "path traversal"

• generic web:

curl -I <esm.sh_endpoint> | grep -i "path traversal"

1. 2026-01-20Disclosure

   disclosure

1. Réservé2026-01-14
2. Publiée2026-01-20
3. Modifiée2026-02-27
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour la bibliothèque github.com/esm-dev/esm.sh vers la version corrigée 0.0.0-20260116051925-c62ab83c589e. Si la mise à jour n'est pas immédiatement possible, une solution de contournement temporaire consiste à valider et à nettoyer rigoureusement tous les chemins d'accès fournis par l'utilisateur avant de les utiliser pour extraire des tarballs. L'utilisation d'un WAF (Web Application Firewall) peut également aider à bloquer les requêtes malveillantes contenant des séquences de traversal de chemin. Il est également recommandé de restreindre les permissions du processus exécutant l'application pour limiter l'impact potentiel d'une exploitation réussie. Après la mise à jour, vérifiez l'intégrité de l'installation en testant l'extraction de tarballs avec des chemins d'accès potentiellement malveillants.