CVE-2026-104103

Nome do Software Vulnerável e Versões Afetadas Ludwig versões anteriores a 0.17.8

Descrição Existe um problema na função extract archive() em ludwig.datasets.archives onde os nomes dos membros do tar são validados antes de chamar TarFile.extractall(), mas membros de symlink e hard-link não são validados. Um arquivo manipulado pode criar um link que escapa do diretório de extração, permitindo que conteúdo controlado por um invasor seja gravado em um caminho arbitrário do sistema de arquivos com os privilégios do processo de extração. Além disso, a verificação de contenção utiliza os.path.commonprefix, o que pode permitir que caminhos irmãos que compartilham o prefixo de caracteres do destino sejam aceitos. Isso pode ocorrer ao processar arquivos de fontes comprometidas em ambientes Python 3.12 e 3.13.

Recomendações Atualizar para a versão 0.17.8.