CVE-2026-87794
Vulnérabilité élevée dans bestzip (nfriedly)
CVSS 8.6 · Élevée
EPSS 0.3%
nfriedly•bestzip•Versions : 3.0.2, 2.2.6, <2.2.7, <3.0.3
Description
bestzip versions 2.2.6 and 3.0.2 contain an argument injection vulnerability in the nativeZip function that allows attackers to inject arbitrary arguments to the Info-ZIP backend. Attackers can supply a malicious destination path combined with crafted source entries to execute arbitrary commands with Node.js process privileges. Fixed in 2.2.7 and 3.0.3.
Gravité et risque d'exploitation
CVE-2026-87794 obtient un score CVSS de 8.6/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.28 %, ce qui la place devant 19.2 % des CVE référencées.
Que faire ?
- Vérifiez si bestzip (versions 3.0.2, 2.2.6, <2.2.7, <3.0.3) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/nfriedly/node-bestzip/security/advisories/GHSA-xhwx-rch4-ph2v
- https://github.com/nfriedly/node-bestzip/commit/2adb637b0acb05b8475de7db5af4b86ffcf40aaf
- https://github.com/nfriedly/node-bestzip/blob/v3.0.2/lib/bestzip.js
- https://github.com/nfriedly/node-bestzip/security/advisories/GHSA-p87m-9567-rgcc
- https://www.npmjs.com/package/bestzip
- https://github.com/nfriedly/node-bestzip
- https://www.vulncheck.com/advisories/bestzip-2.2.6-and-3.0.2-argument-injection-via-the-native-zip-destination