PT-2025-23608
CVE-2025-4138
·
تاريخ النشر
2025-06-03
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 2.0
7.8
عاليةالمقاييسAV:N/AC:L/Au:N/C:C/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Python من 3.12 إلى 3.13
الوصف
تسمح مشكلة في وحدة
tarfile بتجاهل مرشح الاستخراج عند استخراج أرشيفات tar غير موثوق بها. وقد يمكّن ذلك المهاجم من إنشاء روابط رمزية تشير إلى خارج الدليل الوجهة، وتعديل بيانات تعريف الملفات، وربما تعديل الملفات في مواقع عشوائية بنظام الملفات، مما يؤدي إلى فقدان البيانات أو الوصول غير المصرح به إلى المعلومات المحمية. تحدث المشكلة عند استخدام الدالتين TarFile.extractall() أو TarFile.extract() مع تعيين المعلمة filter إلى data أو tar. بالنسبة لإصدارات Python 3.14 والإصدارات الأحدث، فإن القيمة الافتراضية للمعلمة filter هي data، مما يجعل الاستخدام الذي يعتمد على هذا السلوك الافتراضي عرضة للخطر أيضًا.التوصيات
تحديث Python 3.12 إلى الإصدار 3.12.7-1ubuntu2.2.
تحديث Python 3.13 إلى الإصدار 3.13.0-1ubuntu0.3.
تجنب استخدام المعلمة
filter بقيم data أو tar عند استخراج أرشيفات غير موثوق بها.تجنب تثبيت توزيعات المصدر التي تحتوي على روابط مشبوهة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾