esm.sh में एक पाथ ट्रावर्सल (Path Traversal) extractPackageTarball में सक्षम है जो दुर्भावनापूर्ण पैकेजों से फ़ाइल लिखने की अनुमति देता है

यह भेद्यता एक हमलावर को सर्वर पर मनमाना फ़ाइलों को पढ़ने की अनुमति देती है, जिसमें संवेदनशील डेटा, कॉन्फ़िगरेशन फ़ाइलें या स्रोत कोड शामिल हो सकते हैं। एक सफल शोषण से डेटा उल्लंघन, सिस्टम समझौता या आगे के हमले हो सकते हैं। चूंकि esm.sh का उपयोग कई परियोजनाओं में मॉड्यूल को होस्ट करने के लिए किया जाता है, इसलिए इस भेद्यता का व्यापक प्रभाव हो सकता है। यह भेद्यता Log4Shell जैसे पिछले पथ पारगमन भेद्यताओं के समान शोषण पैटर्न का उपयोग कर सकती है, जहां हमलावर विशेष रूप से तैयार किए गए इनपुट का उपयोग करके सिस्टम फ़ाइलों तक पहुंच प्राप्त करते हैं।

Applications and services that rely on esm.sh to load JavaScript modules are at risk. This includes projects using esm.sh as a CDN or module resolver. Developers who have integrated esm.sh into their build processes or deployment pipelines should prioritize upgrading to the patched version.

• linux / server:

journalctl -u esm.sh -f | grep -i "path traversal"

• generic web:

curl -I <esm.sh_endpoint> | grep -i "path traversal"

1. 2026-01-20Disclosure

   disclosure

1. आरक्षित2026-01-14
2. प्रकाशित2026-01-20
3. संशोधित2026-02-27
4. EPSS अद्यतन2026-03-23

सबसे महत्वपूर्ण शमन उपाय esm.sh को 20260116051925-c62ab83c589e या बाद के संस्करण में अपडेट करना है। यदि तत्काल अपग्रेड संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या रिवर्स प्रॉक्सी का उपयोग करके पथ पारगमन हमलों को कम किया जा सकता है। WAF को उन अनुरोधों को ब्लॉक करने के लिए कॉन्फ़िगर किया जाना चाहिए जिनमें पथ पारगमन पैटर्न शामिल हैं, जैसे कि ../ अनुक्रम। इसके अतिरिक्त, सुनिश्चित करें कि esm.sh इंस्टेंस उचित रूप से सुरक्षित हैं और केवल अधिकृत उपयोगकर्ताओं के लिए ही पहुंच योग्य हैं। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, यह सुनिश्चित करने के लिए कि कोई भी अनधिकृत फ़ाइलें अब सुलभ नहीं हैं।