CVE-2026-50558

Nome do Software Vulnerável e Versões Afetadas Penelope versões anteriores a 0.20.0

Descrição A implementação Unix download() em penelope.py não valida os caminhos dos membros ao extrair arquivos tar recebidos de sessões remotas. Uma sessão maliciosa ou comprometida pode retornar um arquivo tar manipulado contendo entradas de travessia de caminho (ex: ../), permitindo que o invasor grave arquivos arbitrários fora do diretório de download pretendido na máquina do operador. Isso ocorre porque o software utiliza tar.extractall(local download folder) sem verificar se os caminhos de destino permanecem dentro da variável local download folder. Este problema pode ser encadeado para alcançar a execução de código na máquina do operador se o invasor sobrescrever um arquivo que seja executado posteriormente, como o ~/.penelope/peneloperc.

Recomendações Atualize o Penelope para a versão 0.20.0 ou posterior. Como medida paliativa temporária, evite usar o comando download para recuperar arquivos de sessões remotas não confiáveis ou comprometidas.