CVE-2026-22871

Krytyczne

Opublikowano: 13/01/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

GuardDog, narzędzie CLI do identyfikacji złośliwych pakietów PyPI, przed wersją 2.7.1 zawiera podatność na path traversal w funkcji safe_extract(). Złośliwe pakiety PyPI mogą zapisywać dowolne pliki poza katalogiem ekstrakcji, co prowadzi do nadpisania plików i zdalnego wykonania kodu na systemach z GuardDog. Podatność została naprawiona w wersji 2.7.1.

Ocena ryzyka

Podatność może pozwolić atakującemu na nadpisanie krytycznych plików systemowych lub wykonanie złośliwego kodu, co zagraża integralności systemu i bezpieczeństwu danych.

Rekomendacja

Zaktualizuj GuardDog do wersji 2.7.1 lub nowszej, która zawiera poprawkę. Unikaj uruchamiania GuardDog na niezaufanych pakietach bez aktualizacji.

Oryginalny opis (angielski, źródło NVD)

GuardDog is a CLI tool to identify malicious PyPI packages. Prior to 2.7.1, there is a path traversal vulnerability exists in GuardDog's safe_extract() function that allows malicious PyPI packages to write arbitrary files outside the intended extraction directory, leading to Arbitrary File Overwrite and Remote Code Execution on systems running GuardDog. This vulnerability is fixed in 2.7.1.