---
cve: "CVE-2026-59873"
severity: "CRITICAL"
cvss: 9.2
epss: "0.6%"
vendor: "isaacs"
kev: false
exploited: false
published: "2026-07-08 15:22:40"
tags: [cve, security, critical]
source: tsecurity.de CVE-Dossier
exported: "2026-11-09T15:03:02+01:00"
---

# CVE-2026-59873

> 9.2 CRITICAL · 🧪 PoC

## Beschreibung

node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.19, node-tar does not enforce hard upper bounds on total decompressed data, entry counts, or decompression ratio in extraction and parsing paths such as src/extract.ts, allowing a small crafted gzip bomb to exhaust disk space and CPU. This issue is fixed in version 7.5.19.

## CNA-Record (Kanon, cvelistV5)

- CNA: **GitHub_M**
- State: PUBLISHED
- Stand: 2026-07-08 19:41:26
- CNA-CVSS: **9.2** (`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H`)

## CISA-Anreicherung (vulnrichment/ADP)

- CISA-SSVC (Coordinator, v2.0.3):
  - Exploitation: **poc**
  - Automatable: **yes**
  - Technical Impact: **partial**

## CVSS-Vektor

```
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H
```

| Metrik | Wert | Bewertung |
|---|---|---|
| AV Angriffsvektor | Netzwerk | bad |
| AC Komplexität | Gering | bad |
| PR Privilegien | Keine | bad |
| UI Interaktion | Keine | bad |

## Schwachstellen-Klasse

- **CWE-770** — Allocation of Resources Without Limits or Throttling
  The product allocates a reusable resource or group of resources on behalf of an actor without imposing any intended restrictions on the size or number of resources that can be allocated.

## Angriffsmuster (CAPEC)

- [CAPEC-125 — Flooding](https://capec.mitre.org/data/definitions/125.html) _(Severity: Medium)_
- [CAPEC-130 — Excessive Allocation](https://capec.mitre.org/data/definitions/130.html) _(Severity: Medium)_
- [CAPEC-147 — XML Ping of the Death](https://capec.mitre.org/data/definitions/147.html) _(Severity: Medium)_
- [CAPEC-197 — Exponential Data Expansion](https://capec.mitre.org/data/definitions/197.html) _(Severity: Medium)_
- [CAPEC-229 — Serialized Data Parameter Blowup](https://capec.mitre.org/data/definitions/229.html) _(Severity: High)_
- [CAPEC-230 — Serialized Data with Nested Payloads](https://capec.mitre.org/data/definitions/230.html) _(Severity: High)_
- [CAPEC-231 — Oversized Serialized Data Payloads](https://capec.mitre.org/data/definitions/231.html) _(Severity: High)_
- [CAPEC-469 — HTTP DoS](https://capec.mitre.org/data/definitions/469.html) _(Severity: Low)_

## ATT&CK-Techniken

- [T1498.001 — Network Denial of Service: Direct Network Flood](https://attack.mitre.org/techniques/T1498/001/)
- [T1499 — Endpoint Denial of Service](https://attack.mitre.org/techniques/T1499/)
- [T1499.003 — Endpoint Denial of Service:Application Exhaustion Flood](https://attack.mitre.org/techniques/T1499/003/)
- [T1499.002 — Endpoint Denial of Service: Service Exhaustion Flood](https://attack.mitre.org/techniques/T1499/002/)

## Patch verfügbar (OSV)

- be440da64e9fe80c68c755d8147328ea1cc2a9ad (Commit)
- 2812e9338665659b183aa7226518c307044957d3 (Commit)

## BSI-Hinweise (deutsch)

- [IBM App Connect Enterprise: Mehrere Schwachstellen](https://wid.cert-bund.de/portal/wid/sicherheitshinweis/WID-SEC-W-2026-3621) — _BSI-Einstufung: hoch_
  Ein Angreifer kann mehrere Schwachstellen in IBM App Connect Enterprise ausnutzen, um Informationen offenzulegen, um einen Denial of Service Angriff durchzuführen, um Daten zu manipulieren und um Sicherheitsvorkehrungen zu umgehen.
- [Atlassian Produkte (Bamboo, Bitbucket, Confluence, Crucible, Fisheye, und Jira): Mehrere Schwachstellen](https://wid.cert-bund.de/portal/wid/sicherheitshinweis/WID-SEC-W-2026-2923) — _BSI-Einstufung: hoch_
  Ein Angreifer kann mehrere Schwachstellen in Atlassian Bamboo, Atlassian Bitbucket, Atlassian Confluence, Atlassian Crucible, Atlassian Fisheye und Atlassian Jira ausnutzen, um beliebigen Programmcode auszuführen, um einen Denial of Service Angriff durchzuführen, um Informationen offenzulegen, um Dateien zu manipulieren, um einen Cross-Site Scripting Angriff durchzuführen, um einen SQL-Injection Angriff durchzuführen, und um Sicherheitsvorkehrungen zu umgehen.
- [Red Hat Ansible Automation Platform (node-tar, linkify-it, protobufjs, brace-expansion, fast-uri, DOMPurify): Mehrere Schwachstellen](https://wid.cert-bund.de/portal/wid/sicherheitshinweis/WID-SEC-W-2026-2452) — _BSI-Einstufung: hoch_
  Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Red Hat Ansible Automation Platform ausnutzen, um Sicherheitsmaßnahmen zu umgehen, Cross-Site-Scripting-Angriffe durchzuführen, Daten zu manipulieren, einen Denial-of-Service-Zustand auszulösen oder beliebigen Code auszuführen.

## Referenzen

- <https://github.com/isaacs/node-tar/security/advisories/GHSA-23hp-3jrh-7fpw>
- <https://github.com/isaacs/node-tar/commit/2812e9338665659b183aa7226518c307044957d3>
- <https://github.com/isaacs/node-tar/releases/tag/v7.5.19>

---
_Exportiert aus dem [tsecurity.de CVE-Dossier](https://tsecurity.de/sicherheitsluecken/cve-2026-59873/) · Datenquellen: EUVD (ENISA), NVD, OSV, CISA KEV, FIRST EPSS, Exploit-DB, BSI WID (CSAF)_