CVE-2026-19672 in tarfile
الملخص
بحسب VulDB • 19/08/2026
تؤدي فلاتر استخراج الأرشيف والبيانات في وحدة `tarfile` إلى إنشاء مجارات خارج المسار الوجهة للأعضاء الذين يتجاوز اسمهم حدود المسار الوجهع ثم يعودون إليه، مثل `../evil/../dest/sub/file`. حيث كان فحص الاحتواء يستخدم المسار المحلّل (resolved path)، لكن كانت المجلدات الوسيطة تُنشأ بناءً على الاسم كما هو مُقدَّم.
يتم إنشاء مجلدات فارغة فقط خارج المسار الوجهع. ولا تزال محتويات الأعضاء تُستخرج داخله. وللعودة إلى المسار الوجهع، يجب أن يحتوي اسم العضو على العنصر النهائي الخاص بمجلد الوجهة نفسه، وبالتالي لا يتأثر الاستخراج في مجلد عشوائي آمن.
هذا التأثير يؤثر على منصات POSIX فقط. وعلى نظام Windows، يتم دمج مكونات `..` قبل وصول المسار إلى نظام الملفات، لذا فإن المجلدات خارج المسار الوجهع لا تُنشأ أبداً.
If you want to get best quality of vulnerability data, you may have to visit VulDB.