CVE-2026-65010

ŚrednieCVSS 6.6

Opublikowano: 23/07/2026(UTC)Zaktualizowano: 24/10/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Datasets do wersji 5.00 (poprawione w commit ad2d853) zawiera podatność na podążanie za dowiązaniami symbolicznymi w metodzie Extractor.extract(). Lokalny atakujący może wstępnie umieścić dowiązania symboliczne w przewidywalnych ścieżkach wyjściowych, co pozwala na zapis dowolnych plików poza katalogiem docelowym.

Ocena ryzyka

Atakujący może nadpisać wrażliwe pliki, co może prowadzić do eskalacji uprawnień lub wykonania kodu w środowiskach współdzielonej pamięci podręcznej.

Rekomendacja

Zaktualizuj Datasets do wersji zawierającej commit ad2d853 lub nowszej.

Inne podatności w Datasets

CVE-2026-66007Średnie
Podatność typu path traversal w bibliotece Datasets do wersji 5.0.0. Pole file_name w metadanych nie jest odpowiednio walidowane przed dołączeniem do katalogu zbioru danych, co pozwala atakującym na odczyt dowolnych plików lokalnych poprzez sekwencje typu '../'.

Oryginalny opis (angielski, źródło NVD)

Datasets through 5.00, fixed in commit ad2d853, contains a symlink-following vulnerability in Extractor.extract() that allows local attackers to write arbitrary files by pre-planting symlinks at predictable output paths. Attackers can redirect archive extraction to arbitrary filesystem locations in shared-cache environments, enabling overwrite of sensitive files and potential privilege escalation or code execution.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS