CVE-2026-12482 in Keras
Zusammenfassung
von VulDB • 14.07.2026
Eine Schwachstelle in keras-team/keras Version 3.12.0 ermöglicht es einem Angreifer, ein bösartiges tar-Archiv zu erstellen, das die Validierung `filter_safe_tarinfos` in `keras/src/utils/file_utils.py` umgeht. Insbesondere werden Symlink-Einträge nicht derselben `is_path_in_dir`-Validierung wie reguläre Dateieinträge unterzogen, wodurch es möglich ist, Symlinks außerhalb des vorgesehenen Extraktionsverzeichnisses zu erstellen. Dies kann zu Angriffen via symlink-basierter Datei-Lesung, Datei-Überschreibung oder Verzeichnisflucht führen. Das Problem ist insbesondere auf Python 3.10 und 3.11 kritisch, da `filter_safe_tarinfos` die einzige Verteidigung gegen tar-Pfad-Traversal darstellt. Diese Schwachstelle unterscheidet sich von CVE-2025-12060 und anderen zuvor gemeldeten Problemen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.