esm.sh の extractPackageTarball におけるパス・トラバーサルにより、悪意のあるパッケージからファイル書き込みが可能

この脆弱性は、攻撃者がesm.shの処理パイプラインを介してシステム上の任意のファイルにアクセスすることを可能にします。悪意のあるtarファイルをアップロードすることで、攻撃者は/etc/passwdやその他の機密ファイルへのアクセスを試み、システム設定やユーザー認証情報を盗み出す可能性があります。この脆弱性は、特にesm.shを依存関係解決に利用しているプロジェクトにおいて、サプライチェーン攻撃のリスクを高めます。類似の脆弱性は、tarアーカイブの処理における入力検証の不備から発生することがあります。

Applications and services that rely on esm.sh to load JavaScript modules are at risk. This includes projects using esm.sh as a CDN or module resolver. Developers who have integrated esm.sh into their build processes or deployment pipelines should prioritize upgrading to the patched version.

• linux / server:

journalctl -u esm.sh -f | grep -i "path traversal"

• generic web:

curl -I <esm.sh_endpoint> | grep -i "path traversal"

1. 2026-01-20Disclosure

   disclosure

1. 予約済み2026-01-14
2. 公開日2026-01-20
3. 更新日2026-02-27
4. EPSS 更新日2026-03-23

この脆弱性への主な対策は、esm.shをバージョン0.0.0-20260116051925-c62ab83c589e以上にアップデートすることです。もしアップデートが困難な場合は、esm.shの利用を一時的に停止するか、信頼できるソースからのパッケージのみを使用するように制限してください。WAF（Web Application Firewall）を導入し、悪意のあるtarファイルのアップロードを検知・ブロックすることも有効です。また、esm.shのログを監視し、異常なファイルアクセスを検出するためのルールを設定することも推奨されます。