CVE-2026-74764

Nome do Software Vulnerável e Versões Afetadas Pandora (versões afetadas não especificadas)

Description O Pandora contém um problema de traversal de caminho em sua funcionalidade de extração de arquivos TAR. O extrator passa os nomes dos membros do arquivo diretamente para a função tarfile.TarFile.extract() sem aplicar um filtro de extração. Um invasor pode enviar um arquivo TAR especialmente criado contendo caminhos de membros maliciosos, como caminhos absolutos ou sequências usando ../, para gravar arquivos fora do diretório de extração pretendido. Isso pode levar à sobrescrita de arquivos acessíveis ao processo worker do Pandora, resultando potencialmente em execução de código arbitrário, comprometimento da aplicação ou negação de serviço.

Recommendations Aplique o filtro de extração filter='data' do Python para rejeitar ou sanitizar membros de TAR perigosos, incluindo alvos de links inseguros e caminhos que escapam do diretório de destino.