CVE-2025-4517
CriticalSummary
Podatność pozwala na dowolne zapisywanie plików w systemie plików poza katalogiem ekstrakcji podczas używania filtru 'data' w module tarfile. Dotyczy to sytuacji, gdy używasz funkcji TarFile.extractall() lub TarFile.extract() z parametrem filter ustawionym na 'data' lub 'tar'.
Risk Assessment
Organizacja jest narażona na ryzyko nieautoryzowanego dostępu do systemu plików, co może prowadzić do wycieku danych lub złośliwego oprogramowania. Szczególnie niebezpieczne jest to w przypadku nieufnych archiwów tar.
Recommendation
Zaleca się unikanie używania filtru 'data' lub 'tar' podczas ekstrakcji nieufnych archiwów tar. Warto również zaktualizować kod do najnowszej wersji Pythona i dostosować ustawienia filtru zgodnie z dokumentacją.
Original NVD description (English source)
Allows arbitrary filesystem writes outside the extraction directory during extraction with filter="data". You are affected by this vulnerability if using the tarfile module to extract untrusted tar archives using TarFile.extractall() or TarFile.extract() using the filter= parameter with a value of "data" or "tar". See the tarfile extraction filters documentation https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filter for more information. Note that for Python 3.14 or later the default value of filter= changed from "no filtering" to `"data", so if you are relying on this new default behavior then your usage is also affected. Note that none of these vulnerabilities significantly affect the installation of source distributions which are tar archives as source distributions already allow arbitrary code execution during the build process. However when evaluating source distributions it's important to avoid installing source distributions with suspicious links.