PT-2026-141134
CVE-2026-123815
·
تاريخ النشر
2026-10-09
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 4.0
9.4
حرجةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
اسم البرنامج المصاب والإصدارات المتأثرة
pyLoad الإصدارات السابقة لـ 0.5.0b3.dev102
Description
تفشل الدالة
UnTar. safe extractall في src/pyload/plugins/extractors/UnTar.py في استدعاء TarInfo.isdev لرفض أنواع أعضاء tar الخاصة قبل تنفيذ tarfile.extractall. في بيئات تشغيل Python 3.9 إلى 3.13، التي تعتمد افتراضيًا على مرشح استخراج موثوق به بالكامل، يمكن للمستخدم الذي يمتلك صلاحيات ADD و STATUS رفع أرشيف مصمم خصيصًا لإنشاء أجهزة أحرف (character devices)، أو أجهزة كتل (block devices)، أو ملفات FIFO (First-In-First-Out، وهو نوع من الأنابيب المستخدمة للتواصل بين العمليات). إذا كان التطبيق يعمل بصلاحيات تسمح بإنشاء الأجهزة، مثل نشر Docker القائم على root، فقد يؤدي ذلك إلى كشف الأجهزة الخام واختراق المضيف. أما في عمليات النشر غير القائمة على root، فإن إنشاء ملفات FIFO يمكن أن يؤدي إلى تعليق النظام أو ارتباك في التواصل بين العمليات (IPC).Recommendations
التحديث إلى الإصدار 0.5.0b3.dev102.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾