https://cyberveille.ch/tags/cve-2026-102282/ Recent content in CVE-2026-102282 on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Fri, 10 Apr 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-04-10-cve-2026-102282-elevation-de-privileges-locale-dans-adm-zip-via-preservation-du-bit-suid/ Fri, 10 Apr 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-04-10-cve-2026-102282-elevation-de-privileges-locale-dans-adm-zip-via-preservation-du-bit-suid/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié sur GitHub (x86byte/adm-zip_LPE-PoC), cet article est un advisory de sécurité accompagné d&rsquo;un PoC fonctionnel pour la vulnérabilité <strong>CVE-2026-102282</strong> affectant <strong>adm-zip</strong>, une bibliothèque JavaScript pure pour Node.js comptant plus de <strong>20 millions de téléchargements hebdomadaires</strong> sur npm.</p> <h2 id="-description-de-la-vulnérabilité">🐛 Description de la vulnérabilité</h2> <p>La bibliothèque <strong>adm-zip</strong> supporte une option <code>keepOriginalPermission</code> permettant de restaurer les permissions POSIX enregistrées dans une archive ZIP. Dans les versions <strong>&gt;= 0.5.10 et &lt;= 0.6.0</strong>, le masque binaire utilisé dans <code>headers/entryHeader.js</code> était <code>0xfff</code> (12 bits), préservant non seulement les permissions standard (<code>0o777</code>) mais aussi les bits spéciaux :</p>