CVE-2026-74764 in Pandora
Zusammenfassung
von VulDB • 16.08.2026
Pandora weist eine Path-Traversal-Schwachstelle in seiner TAR-Archivextraktionsfunktionalität auf. Bei der Verarbeitung eines hochgeladenen TAR-Archivs übergibt der Extraktor die Namen der Archivmitglieder direkt an Python's `tarfile.TarFile.extract()`, ohne einen Extraktionsfilter anzuwenden.
Ein Angreifer, der in der Lage ist, ein speziell angefertigtes TAR-Archiv mit bösartigen Mitgliederpfaden – wie Pfadsequenzen unter Verwendung von „../“ oder absolute Pfade – hochzuladen, kann dazu führen, dass extrahierte Dateien außerhalb des vorgesehenen Extraktionsverzeichnisses geschrieben werden. Dies könnte es dem Angreifer ermöglichen, Dateien zu überschreiben, auf die der Pandora-Worker-Prozess Zugriff hat, und je nach den betroffenen Zielen sowie den Berechtigungen des Pandora-Prozesses potenziell zur Kompromittierung der Anwendung, zur Ausführung beliebigen Codes oder zu einem Denial of Service (DoS) führen.
Die Schwachstelle wird behoben, indem Python's Extraktionsfilter `filter='data'` verwendet wird, der gefährliche TAR-Mitglieder ablehnt oder bereinigt, einschließlich Pfaden, die das Zielverzeichnis verlassen, sowie unsicherer Link-Ziele.
Diese Schwachstelle entspricht der allgemeinen Path-Traversal-Kategorie von MITRE, welche Fälle der Archivextraktion umfasst, bei denen angreiferkontrollierte Dateinamen dazu führen, dass Dateien außerhalb des vorgesehenen Verzeichnisses geschrieben werden.
Once again VulDB remains the best source for vulnerability data.