PT-2025-23609
CVE-2025-4330
·
تاريخ النشر
2025-06-03
·
تاريخ التحديث
2026-10-06
الوصف من
CVSS 2.0
7.8
عاليةالمقاييسAV:N/AC:L/Au:N/C:N/I:C/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Python 3.12 والإصدارات الأحدث
الوصف
تسمح هذه المشكلة بتجاوز مرشح الاستخراج، مما يتيح أن تشير وجهات الروابط الرمزية إلى خارج الدليل الهدف، كما تتيح تعديل بعض البيانات الوصفية للملفات. يؤثر هذا على المستخدمين الذين يستخدمون وحدة tarfile لاستخراج ملفات tar غير موثوقة باستخدام TarFile.extractall() أو TarFile.extract() مع تعيين المعلمة filter على ”data“ أو ’tar‘. بالنسبة لـ Python 3.14 والإصدارات الأحدث، تم تغيير القيمة الافتراضية للمرشح إلى ”data“، مما يؤثر أيضًا على الاستخدامات التي تعتمد على هذا السلوك الافتراضي الجديد. لا يتأثر تثبيت توزيعات شفرة المصدر، وهي ملفات tar، بشكل كبير، لأنها تسمح بالفعل بتنفيذ شفرة تعسفي أثناء عملية البناء.
التوصيات
بالنسبة لإصدارات Python 3.12 والإصدارات الأحدث، يُنصح بالتحديث إلى إصدار تم فيه إصلاح هذه المشكلة، على الرغم من عدم توفر إصدار محدد تم إصلاحه.
كحل مؤقت، تجنب استخدام المعلمة filter بالقيم ”data“ أو ”tar“ عند استخراج ملفات tar غير موثوقة باستخدام TarFile.extractall() أو TarFile.extract() حتى يتوفر تصحيح.
قم بتقييد الوصول إلى ملفات tar غير الموثوقة لتقليل مخاطر الاستغلال.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾