PT-2026-51546
CVE-2026-11940
·
تاريخ النشر
2026-06-23
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 4.0
7.8
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Python tarfile (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يوجد عيب في الدالة
extractall() عند استخدام مرشحات «data» أو «tar». يمكن لأرشيف مصمم خصيصًا يحتوي على رابط ثابت يشير إلى رابط رمزي مخزّن في مسار أعمق أن يتجاوز هذه المرشحات. تقوم عملية الاستخراج بالتحقق من صحة الرابط الرمزي في موقعه الأصلي داخل الأرشيف، لكنها تعيد إنشاؤه في المسار الأقرب للرابط الثابت. وهذا يسمح لهدف نسبي بالخروج من الدليل المقصود، مما يمكّن الأرشيف الخبيث من إنشاء روابط رمزية تشير إلى خارج المجلد المقصود، وهو ما قد يؤدي إلى قراءة أو كتابة ملفات غير مصرح بها خارج الوجهة المقصودة.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾