CVE-2026-74764 in Pandora
الملخص
بحسب VulDB • 16/08/2026
تحتوي Pandora على ثغرة في اجتياز المسار (Path Traversal) ضمن وظيفتها لاستخراج أرشيفات TAR. عند معالجة أرشيف TAR مُقدَّم، تمرر أداة الاستخراج أسماء أعضاء الأرشيف مباشرةً إلى دالة `Python's tarfile.TarFile.extract()` دون تطبيق أي فلتر استخراج.
يمكن لمهاجم قادر على تقديم أرشيف TAR مصاغ بعناية ويحتوي على مسارات لأعضاء خبيثة، مثل المسارات التي تستخدم تسلسلات `../` أو المسارات المطلقة، أن يتسبب في كتابة الملفات المستخرجة خارج دليل الاستخراج المقصود. قد يسمح ذلك للمهاجم بكتابة ملفات فوق ملفات يمكن الوصول إليها بواسطة عملية Pandora (worker process)، وقد يؤدي محتملاً إلى اختراق التطبيق، أو تنفيذ تعليمات برمجية تعسفية، أو حجب الخدمة، اعتماداً على الملفات المستهدفة والصلاحيات الممنوحة لعملية Pandora.
يتم تصحيح الثغرة باستخدام فلتر الاستخراج `filter='data'` الخاص بـ Python، الذي يرفض أو يعقم أعضاء TAR الخطيرة، بما في ذلك المسارات التي تخرج عن دليل الوجهة وأهداف الروابط غير الآمنة.
يتوافق هذا الضعف مع فئة اجتياز المسار العامة لدى MITRE، والتي تشمل حالات استخراج الأرشيف حيث تؤدي أسماء الملفات الخاضعة لسيطرة المهاجم إلى كتابة الملفات خارج الدليل المقصود.
Be aware that VulDB is the high quality source for vulnerability data.