CVE-2026-88069
KrytyczneCVSS 9.3Streszczenie
Pandora zawiera podatność na przechodzenie po ścieżkach w mechanizmie rozpakowywania archiwów. Podczas przetwarzania specjalnie spreparowanego archiwum lub obrazu dysku, ścieżki plików kontrolowane przez atakującego mogą być używane bez zapewnienia, że wynikowy cel pozostanie w zamierzonym katalogu ekstrakcji. Atakujący, który może przesłać złośliwy plik do analizy, może użyć sekwencji przechodzenia po ścieżkach, aby zapisać wyodrębnione treści poza wyznaczonym katalogiem, potencjalnie nadpisując pliki dostępne dla procesu Pandora.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowaną modyfikację plików aplikacji lub systemu, odmowę usługi oraz potencjalnie dalszą kompromitację w zależności od uprawnień procesu Pandora i plików, które można nadpisać.
Rekomendacja
Zastosuj poprawkę, która rozwiązuje problem przez sprawdzanie, czy ścieżka docelowa ekstrakcji pozostaje w oczekiwanym katalogu, i odrzucanie prób wychodzących poza niego.
Inne podatności w Pandora
Zobacz wszystkie- CVE-2026-74764Krytyczne
Pandora zawiera podatność na przechodzenie po ścieżkach w funkcji ekstrakcji archiwów TAR. Podczas przetwarzania archiwum TAR nazwy członków archiwum są przekazywane bezpośrednio do funkcji tarfile.TarFile.extract() bez filtra ekstrakcji. Atakujący może przesłać specjalnie spreparowane archiwum TAR ze złośliwymi ścieżkami, co pozwala na zapis plików poza zamierzonym katalogiem.
- CVE-2026-75531Wysokie
Pandora zawiera podatność na przechowywany XSS w renderowaniu obserwowalnych URL. Złośliwy URL może zostać wstrzyknięty do inline JavaScript onclick, co pozwala na wykonanie dowolnego kodu JavaScript w kontekście aplikacji.
- CVE-2026-75529Średnie
Pandora jest podatna na przechowywany atak XSS w funkcji pobierania plików PDF. Punkt końcowy /task-download/<task_id>/.../pdf weryfikuje, że plik jest PDF, ale zwraca go bez jawnego określenia typu MIME, co pozwala na serwowanie pliku jako HTML lub innego aktywnego formatu. Specjalnie spreparowany plik PDF/polyglot może wykonać skrypt w kontekście aplikacji Pandora.
- CVE-2026-74767Wysokie
Pandora zawiera podatność na atak typu odmowa usługi podczas obsługi plików DAA (Direct Access Archive). Przy wyodrębnianiu wewnętrznego obrazu ISO z archiwum DAA skompresowane fragmenty są dekompresowane za pomocą zlib.decompress() bez ograniczenia rozmiaru wynikowych danych. Atakujący może przesłać spreparowany plik DAA z wysoko skompresowanymi danymi, co powoduje nadmierne zużycie pamięci i potencjalnie CPU, prowadząc do zawieszenia lub przerwania działania usługi.
Oryginalny opis (angielski, źródło NVD)
Pandora contains a path traversal vulnerability in its archive extraction worker. When processing a specially crafted archive or disk image, attacker-controlled file paths could be used without ensuring that the resulting destination remained within the intended extraction directory. An attacker able to submit a malicious file for analysis could use path traversal sequences or crafted paths to cause extracted content to be written outside the designated extraction directory, potentially overwriting files accessible to the Pandora worker process. Successful exploitation could result in unauthorized modification of application or system files, denial of service, and potentially further compromise depending on the permissions of the Pandora process and the files that can be overwritten. The vulnerability is addressed by resolving each extraction destination path before writing and verifying that it remains below the expected extraction directory. Extraction attempts resolving outside this directory are rejected and reported as path traversal attempts.