tar npm 包 CVE-2026-29786 的 PoC 公开，可借硬链接写出解压目录

研究者 Joshua van Rijswijk 公开了 tar npm 包漏洞 CVE-2026-29786 的 PoC，构造含 C:../target.txt 这类盘符相对链接目标的归档，可在解压时把硬链接指向解压目录之外。