CVE-2026-11972
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Moduł tarfile w Pythonie, używany z plikiem otwartym w trybie strumieniowym (mode="r|"), nieprawidłowo obsługiwał EOF, co powodowało wykładnicze wydłużenie czasu parsowania archiwum.
Ocena ryzyka
Atakujący może dostarczyć specjalnie spreparowane archiwum tar, które spowolni działanie aplikacji korzystającej z tej funkcji, prowadząc do odmowy usługi (DoS).
Rekomendacja
Zaktualizuj Pythona do wersji zawierającej poprawkę dla tej podatności lub unikaj używania trybu strumieniowego z niezaufanymi archiwami.
Inne podatności w Python tarfile module
Zobacz wszystkie- CVE-2025-4138Wysokie
Podatność w module tarfile w Pythonie pozwala na ignorowanie filtra ekstrakcji, umożliwiając dowiązaniom symbolicznym wskazywanie poza katalog docelowy i modyfikację metadanych plików. Dotyczy to użycia TarFile.extractall() lub TarFile.extract() z filtrem 'data' lub 'tar'.
- CVE-2024-12718Średnie
Podatność w module tarfile języka Python pozwala na modyfikację metadanych plików (np. daty modyfikacji) lub uprawnień (chmod) poza katalogiem docelowym podczas ekstrakcji archiwum. Dotyczy to wersji Pythona 3.12 i nowszych przy użyciu filtrów 'data' lub 'tar'.
Oryginalny opis (angielski, źródło NVD)
When using the "tarfile" module with a file opened in "streaming mode" (mode="r|") the tarfile module did not properly handle EOF, making archive parsing take exponentially longer.