CVE-2026-19672
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Moduł tarfile w Pythonie ma podatność w filtrach ekstrakcji danych, która pozwala na tworzenie katalogów poza docelowym katalogiem dla członków archiwum, których nazwa wychodzi poza katalog docelowy i do niego wraca (np. ../evil/../dest/sub/file). Problem dotyczy tylko platform POSIX i tworzy tylko puste katalogi poza docelowym.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do tworzenia nieoczekiwanych katalogów w systemie plików, co może prowadzić do zaśmiecania systemu lub potencjalnych problemów z bezpieczeństwem, jeśli katalogi są tworzone w wrażliwych lokalizacjach.
Rekomendacja
Zaleca się aktualizację Pythona do wersji, w której naprawiono tę podatność, oraz unikanie ekstrakcji niezaufanych archiwów tar.
Inne podatności w Python tarfile
Zobacz wszystkie- CVE-2026-87910Średnie
W module tarfile języka Python, gdy rozpakowywany jest link w systemie, który nie obsługuje linków, następuje fallback do rozpakowania elementu z archiwum. W takim przypadku funkcja filtra jest uruchamiana dwukrotnie, a dla jednego z wywołań wartość zwracana jest ignorowana, co może prowadzić do nieprawidłowego rozpakowania elementu.
- CVE-2026-11940Wysokie
Funkcja tarfile.extractall() z filtrem 'data' lub 'tar' może zostać ominięta przez spreparowane archiwum, w którym dowiązanie twarde odwołuje się do dowiązania symbolicznego przechowywanego głębiej niż samo dowiązanie twarde. Pozwala to na utworzenie dowiązania symbolicznego wskazującego poza katalog docelowy, umożliwiając odczyt lub zapis plików poza nim. Jest to niekompletna poprawka CVE-2025-4330.
- CVE-2025-8194Wysokie
W module tarfile języka Python występuje wada w API ekstrakcji i wyliczania wpisów TarFile. Archiwa tar z ujemnymi offsetami powodują nieskończoną pętlę i zakleszczenie podczas parsowania złośliwych archiwów.
- CVE-2025-4330Wysokie
Podatność w module tarfile języka Python umożliwia pominięcie filtra ekstrakcji, co pozwala dowiązaniom symbolicznym wskazywać poza katalog docelowy oraz modyfikować metadane plików. Dotyczy to użycia TarFile.extractall() lub TarFile.extract() z parametrem filter='data' lub 'tar'.
Oryginalny opis (angielski, źródło NVD)
The tarfile module's tar and data extraction filters created directories outside the destination for members whose name leaves the destination and returns to it, such as ../evil/../dest/sub/file. The containment check used the resolved path, but intermediate directories were created from the name as given. Only empty directories are created outside the destination. Member contents are still extracted inside it. To return to the destination the member's name must contain the destination directory's own final component, so extraction into a secure randomised directory is not affected. This affects POSIX platforms only. On Windows, .. components are collapsed before the path reaches the filesystem, so the directories outside the destination are never created.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS