GitHub 安全公告库 (GHSA)·2026-10-21 02:23· 2 天前AI 评分36

ApostropheCMS import-export 的 tar 防护因字面量 '../' 子串检测漏掉 './..'，可致 Node 进程崩溃

ApostropheCMS import-export tar guard misses './..' because it is a literal '../' substring test

AI 导读

ApostropheCMS 的 @apostrophecms/import-export 3.6.2 中，为 GHSA-mwxc-m426-3f78 添加的 tar 解压防护仅做字面量 '../' 子串检测。