CVE-2026-106057

WysokieCVSS 7.8

Opublikowano: 07/10/2026(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 07/10/2026(UTC)NVD NIST

Streszczenie

patool przed wersją 4.0.6 zawiera podatność na iniekcję poleceń systemu operacyjnego w systemie Windows, ponieważ funkcja shell_quote_nt nie poprawnie zabezpiecza metaznaków cmd.exe ani osadzonych cudzysłowów w nazwach plików archiwów. Atakujący mogą dostarczyć spreparowane nazwy plików, takie jak report&calc.gz, dla formatów jedno-plikowych uruchamianych z shell=True, aby wykonać polecenia z uprawnieniami procesu patool.

Ocena ryzyka

Atakujący może wykonać dowolne polecenia na systemie z uprawnieniami procesu patool, co może prowadzić do przejęcia kontroli nad systemem lub kradzieży danych.

Rekomendacja

Zaktualizuj patool do wersji 4.0.6 lub nowszej, która zawiera poprawkę tej podatności.

Inne podatności w patool

CVE-2026-29509Średnie
Patool przed wersją 4.0.5 zawiera podatność na przechodzenie do katalogów nadrzędnych (path traversal) w funkcji safe_extract() w pliku patoolib/programs/py_tarfile.py, gdy działa na Pythonie przed wersją 3.12. Podatność wynika z użycia os.path.commonprefix() do porównywania na poziomie znaków zamiast ścieżek, co pozwala na ominięcie kontroli dostępu.

Oryginalny opis (angielski, źródło NVD)

patool before 4.0.6 contains an OS command injection vulnerability on Windows because shell_quote_nt fails to escape cmd.exe metacharacters or embedded double quotes in archive filenames. Attackers can supply crafted filenames like report&calc.gz for single-file formats run with shell=True to execute commands with patool process privileges.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS