node-tarはNode.js用のTarであり、7.5.7より前のバージョンにおいて、ハードリンクエントリのセキュリティチェックが実際のハードリンク作成ロジックとは異なるパス解決のセマンティクスを使用しているという脆弱性を含んでいます。この不一致により、攻撃者は悪意のあるTARアーカイブを作成し、パストラバーサル保護を回避して抽出ディレクトリの外部にある任意のファイルへのハードリンクを作成できます。バージョン7.5.7でこの問題は修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。