JVNDB-2026-019833

KARASZI IstvanのTmpにおける複数の脆弱性

tmpはnode.js用の一時ファイルおよびディレクトリ作成ツールです。バージョン0.2.6では、tmpに追加された_assertPathガードは文字列値に含まれる部分文字列「..」のみを拒否します。しかし、prefix、postfix、またはtemplateが非文字列値（配列、バッファ、またはincludes('..')が偽を返す任意のオブジェクト）として供給された場合、このガードを回避できます。その文字列化は依然として"../"を含みます。この値は_generateTmpName内のArray.prototype.joinやString強制変換、およびpath.join(tmpDir, opts.dir, name)を通過し、最終的にtmpdirを逸脱するパスを生成します。これにより、ホストプロセスの権限で攻撃者制御下の場所にファイルまたはディレクトリを作成される可能性があります。この脆弱性は、信頼できないリクエストデータ（一般的なパターンはJSONボディフィールドやqs解析されたブラケット配列クエリ文字列例：?prefix[]=...）を明示的な型強制なしにtmp.file、tmp.fileSync、tmp.dir、tmp.dirSync、tmp.tmpName、またはtmp.tmpNameSyncに渡す任意のアプリケーションに影響します。バージョン0.2.7でこの脆弱性は修正されました。

KARASZI Istvan

• Tmp 0.2.6

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Type-confusion bypass of _assertPath in tmp@0.2.6 allows path traversal via non-string prefix/postfix/template  Advisory  raszi/node-tmp  GitHub

1. 不適切な入力確認(CWE-20) [その他]
2. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-49982

1. National Vulnerability Database (NVD) : CVE-2026-49982

• [2026年06月16日]
    掲載