CVE-2026-29509

ŚrednieCVSS 5.4

Opublikowano: 26/06/2026(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 15/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Patool przed wersją 4.0.5 zawiera podatność na przechodzenie do katalogów nadrzędnych (path traversal) w funkcji safe_extract() w pliku patoolib/programs/py_tarfile.py, gdy działa na Pythonie przed wersją 3.12. Podatność wynika z użycia os.path.commonprefix() do porównywania na poziomie znaków zamiast ścieżek, co pozwala na ominięcie kontroli dostępu.

Ocena ryzyka

Atakujący może dostarczyć złośliwe archiwum ze specjalnie spreparowanymi ścieżkami członków archiwum, aby nadpisać dowolne pliki w systemie ofiary, co może prowadzić do przejęcia kontroli nad systemem lub eskalacji uprawnień.

Rekomendacja

Należy natychmiast zaktualizować bibliotekę Patool do wersji 4.0.5 lub nowszej oraz upewnić się, że używany jest Python w wersji 3.12 lub nowszej, aby uniknąć tej podatności.

Inne podatności w Patool

CVE-2026-106057Wysokie
patool przed wersją 4.0.6 zawiera podatność na iniekcję poleceń systemu operacyjnego w systemie Windows, ponieważ funkcja shell_quote_nt nie poprawnie zabezpiecza metaznaków cmd.exe ani osadzonych cudzysłowów w nazwach plików archiwów. Atakujący mogą dostarczyć spreparowane nazwy plików, takie jak report&calc.gz, dla formatów jedno-plikowych uruchamianych z shell=True, aby wykonać polecenia z uprawnieniami procesu patool.

Oryginalny opis (angielski, źródło NVD)

Patool before 4.0.5 contains a path traversal vulnerability in the safe_extract() function in patoolib/programs/py_tarfile.py when running on Python before 3.12, where the is_within_directory() helper uses os.path.commonprefix() for character-level string comparison instead of path-level comparison, allowing a crafted archive member path to bypass the containment check. Attackers can supply a malicious archive with specially crafted member paths to write arbitrary files.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS