PT-2025-23611
CVE-2025-4517
·
تاريخ النشر
2025-06-02
·
تاريخ التحديث
2026-09-24
الوصف من
CVSS 2.0
9.7
حرجةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:P
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Python من 3.12 إلى 3.13
الوصف
تسمح مشكلة في وحدة
tarfile بإجراء عمليات كتابة عشوائية على نظام الملفات خارج دليل الاستخراج عند استخراج أرشيفات tar غير موثوق بها. يحدث هذا عند استخدام الدالتين TarFile.extractall() أو TarFile.extract() مع تعيين المعلمة filter إلى data أو tar. بالنسبة إلى Python 3.14 والإصدارات الأحدث، تغيرت القيمة الافتراضية لـ filter إلى data، مما يجعل الاستخدام الذي يعتمد على هذا السلوك الافتراضي عرضة للخطر أيضًا. يمكن للمهاجم استغلال هذه الثغرة لتعديل الملفات في مواقع عشوائية، أو التسبب في فقدان البيانات، أو ربما تحقيق تصعيد الامتيازات أو الهروب من الحاوية إذا تم تنفيذ البرامج النصية بامتيازات الجذر.التوصيات
قم بتحديث Python 3.12 إلى الإصدار 3.12.11 أو أحدث.
قم بتحديث Python 3.13 إلى الإصدار 3.13.4 أو أحدث.
كحل مؤقت، تجنب استخدام المعلمة
filter بالقيم data أو tar عند استخراج الأرشيفات غير الموثوق بها.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾