CVE-2026-123815

Nome do Software Vulnerável e Versões Afetadas pyLoad versões anteriores a 0.5.0b3.dev102

Description A função UnTar. safe extractall em src/pyload/plugins/extractors/UnTar.py não chama TarInfo.isdev para rejeitar tipos especiais de membros de tar antes de executar tarfile.extractall. Em ambientes Python 3.9 a 3.13, que utilizam por padrão um filtro de extração totalmente confiável, um usuário com permissões ADD e STATUS pode fazer o upload de um arquivo compactado manipulado para criar dispositivos de caractere, dispositivos de bloco ou FIFOs (First-In-First-Out, um tipo de pipe usado para comunicação entre processos). Se a aplicação for executada com privilégios que permitam a criação de dispositivos, como na implantação Docker baseada em root, isso pode expor dispositivos brutos e comprometer o host. Em implantações sem root, a criação de FIFOs pode causar travamentos do sistema ou confusão de IPC.

Recommendations Atualize para a versão 0.5.0b3.dev102.