CVE-2026-74764
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Pandora zawiera podatność na przechodzenie po ścieżkach w funkcji ekstrakcji archiwów TAR. Podczas przetwarzania archiwum TAR nazwy członków archiwum są przekazywane bezpośrednio do funkcji tarfile.TarFile.extract() bez filtra ekstrakcji. Atakujący może przesłać specjalnie spreparowane archiwum TAR ze złośliwymi ścieżkami, co pozwala na zapis plików poza zamierzonym katalogiem.
Ocena ryzyka
Atakujący może nadpisać pliki dostępne dla procesu Pandora, co może prowadzić do przejęcia aplikacji, wykonania dowolnego kodu lub odmowy usługi, w zależności od uprawnień procesu.
Rekomendacja
Zastosuj poprawkę, która używa filtra ekstrakcji 'data' w Pythonie, aby odrzucać lub sanityzować niebezpieczne elementy archiwum TAR, w tym ścieżki wychodzące poza katalog docelowy.
Inne podatności w Pandora
Zobacz wszystkie- CVE-2026-88069Krytyczne
Pandora zawiera podatność na przechodzenie po ścieżkach w mechanizmie rozpakowywania archiwów. Podczas przetwarzania specjalnie spreparowanego archiwum lub obrazu dysku, ścieżki plików kontrolowane przez atakującego mogą być używane bez zapewnienia, że wynikowy cel pozostanie w zamierzonym katalogu ekstrakcji. Atakujący, który może przesłać złośliwy plik do analizy, może użyć sekwencji przechodzenia po ścieżkach, aby zapisać wyodrębnione treści poza wyznaczonym katalogiem, potencjalnie nadpisując pliki dostępne dla procesu Pandora.
- CVE-2026-75531Wysokie
Pandora zawiera podatność na przechowywany XSS w renderowaniu obserwowalnych URL. Złośliwy URL może zostać wstrzyknięty do inline JavaScript onclick, co pozwala na wykonanie dowolnego kodu JavaScript w kontekście aplikacji.
- CVE-2026-75529Średnie
Pandora jest podatna na przechowywany atak XSS w funkcji pobierania plików PDF. Punkt końcowy /task-download/<task_id>/.../pdf weryfikuje, że plik jest PDF, ale zwraca go bez jawnego określenia typu MIME, co pozwala na serwowanie pliku jako HTML lub innego aktywnego formatu. Specjalnie spreparowany plik PDF/polyglot może wykonać skrypt w kontekście aplikacji Pandora.
- CVE-2026-74767Wysokie
Pandora zawiera podatność na atak typu odmowa usługi podczas obsługi plików DAA (Direct Access Archive). Przy wyodrębnianiu wewnętrznego obrazu ISO z archiwum DAA skompresowane fragmenty są dekompresowane za pomocą zlib.decompress() bez ograniczenia rozmiaru wynikowych danych. Atakujący może przesłać spreparowany plik DAA z wysoko skompresowanymi danymi, co powoduje nadmierne zużycie pamięci i potencjalnie CPU, prowadząc do zawieszenia lub przerwania działania usługi.
Oryginalny opis (angielski, źródło NVD)
Pandora contains a path traversal vulnerability in its TAR archive extraction functionality. When processing a submitted TAR archive, the extractor passed archive member names directly to Python's tarfile.TarFile.extract() without applying an extraction filter. An attacker able to submit a specially crafted TAR archive containing malicious member paths, such as paths using ../ sequences or absolute paths, could cause extracted files to be written outside the intended extraction directory. This may allow the attacker to overwrite files accessible to the Pandora worker process and could potentially result in application compromise, arbitrary code execution, or denial of service depending on the files targeted and the privileges of the Pandora process. The vulnerability is corrected by using Python's filter='data' extraction filter, which rejects or sanitizes dangerous TAR members, including paths that escape the destination directory and unsafe link targets. The weakness corresponds to MITRE's general path traversal category, which includes archive extraction cases where attacker-controlled filenames cause files to be written outside the intended directory.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS