CVE-2026-41140

WysokieCVSS 8.7

Opublikowano: 24/04/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Podatność w Poetry przed wersją 2.3.4 pozwala na atak typu path traversal podczas rozpakowywania archiwów tarball. Funkcja extractall() nie sprawdza poprawnie ścieżek w Pythonie 3.10.0-3.10.12 i 3.11.0-3.11.4, gdzie tarfile.data_filter jest niedostępny.

Ocena ryzyka

Atakujący może umieścić złośliwe pliki poza docelowym katalogiem, co prowadzi do nadpisania krytycznych plików systemowych lub wstrzyknięcia złośliwego kodu.

Rekomendacja

Niezwłocznie zaktualizuj Poetry do wersji 2.3.4 lub nowszej. Jeśli aktualizacja nie jest możliwa, użyj nowszej wersji Pythona (>=3.10.13 lub >=3.11.5) która zawiera tarfile.data_filter.

Inne podatności w Poetry

CVE-2026-34591Średnie
Poetry, menedżer zależności dla Pythona, w wersjach od 1.4.0 do przed 2.3.3 pozwala na zapis dowolnego pliku poprzez spreparowane koło zawierające ścieżki ../. Atak jest możliwy podczas normalnej instalacji pakietu.

Oryginalny opis (angielski, źródło NVD)

Poetry is a dependency manager for Python. Prior to 2.3.4, the extractall() function in src/poetry/utils/helpers.py:410-426 extracts sdist tarballs without path traversal protection on Python versions where tarfile.data_filter is unavailable. Considering only Python versions which are still supported by Poetry, these are 3.10.0 - 3.10.12 and 3.11.0 - 3.11.4. This vulnerability is fixed in 2.3.4.