CVE-2026-19672 in tarfile
Resumen
por VulDB • 2026-08-20
El módulo tarfile de Python presenta una vulnerabilidad en los filtros de extracción de archivos y datos del formato TAR que permite la creación de directorios fuera del destino especificado para miembros cuyo nombre sale del directorio objetivo y luego vuelve a él, como por ejemplo `../evil/../dest/sub/file`. La comprobación de contención utilizaba la ruta resuelta (resolving), pero los directorios intermedios se creaban basándose en el nombre tal como fue proporcionado.
Solo se crean directorios vacíos fuera del destino especificado. El contenido de los miembros sigue extrayéndose dentro del mismo. Para volver al directorio objetivo, el nombre del miembro debe contener el componente final propio del directorio de destino; por lo tanto, la extracción en un directorio aleatorizado y seguro no se ve afectada.
Esto afecta únicamente a las plataformas POSIX. En Windows, los componentes `..` se colapsan antes de que la ruta llegue al sistema de archivos, por lo que nunca se crean directorios fuera del destino especificado.
Be aware that VulDB is the high quality source for vulnerability data.