decompress ライブラリに path traversal 脆弱性、アーカイブ展開時に外部ファイル読み書き可能

要約

decompress ライブラリ (tar/tar.gz/tar.bz2/zip 等対応) に path traversal 脆弱性が存在し、細工されたアーカイブからの抽出時に目的ディレクトリ外のファイル読み書きが可能だった。hardlink は検査なしに作成され任意ファイルの内容が露出、symlink は後続の書き込みを外部にリダイレクト可能。パス検査が文字列前方一致のみだったため `/srv/out` が `/srv/out-old` を「含む」と誤判定、ファイルモード適用時に setuid/setgid ビットが削除されず root 実行時に権限昇格リスク。@xhmikosr/decompress 10.2.1・11.1.3 で修正済み。