@xhmikosr/decompress: シンボリックリンクの連鎖を利用したパス越出
### 影響
デフォルトの `decompress(input, output)` APIを使用して、信頼できないアーカイブを解凍すると、シンボリックリンクのエントリの連鎖を含む悪意のあるアーカイブにより、後続のエントリが出力ディレクトリの**外**にあるパスを指す可能性があります。語彙的な包含チェックは通過しますが、カーネルは設定されたシンボリックリンクに従い、`output` ディレクトリ外のパスに到達し、攻撃者が意図された解凍ディレクトリ以外のファイルに書き込み（および読み取り）を行うことを可能にします。起動スクリプトや設定ファイルの上書きは、リモートコード実行につながる可能性があります。
これは、GHSA-mp2f-45pm-3cg9におけるセキュリティ対策を回避するものです。攻撃者が制御するアーカイブを解凍するアプリケーションはすべて影響を受けます。
### 修正
**11.1.4**（`latest`）で修正され、**10.2.2**（`release-v10` ディストリビューションタグ）に遡って適用されました。これらのバージョンにアップグレードしてください。
メンテナンスされていないアップストリームの `decompress` パッケージにもこの脆弱性があり、修正は行われません。`@xhmikosr/decompress@11.1.4`（または `@10.2.2`）に移行してください。
### 対策
特になし。影響を受けるバージョンでは、信頼できないアーカイブを解凍しないでください。アップグレードできない場合は、エントリを個別に検証し、解決されたパスがターゲットディレクトリから逸脱するものを拒否してください。
影響を受けるパッケージ：
- npm (JavaScript) @xhmikosr/decompress: 影響あり >= 11.0.0、<= 11.1.3、11.1.4で修正
- npm (JavaScript) @xhmikosr/decompress: 影響あり <= 10.2.1、10.2.2で修正
- npm (JavaScript) decompress: 影響あり <= 4.2.1、修正なし