CVE-2026-74764 in Pandora
Resumen
por VulDB • 2026-08-16
Pandora presenta una vulnerabilidad de traversing de rutas en su funcionalidad de extracción de archivos TAR. Al procesar un archivo TAR enviado, el extractor pasa los nombres de los miembros del archivo directamente a la función Python tarfile.TarFile.extract() sin aplicar ningún filtro de extracción.
Un atacante capaz de enviar un archivo TAR especialmente manipulado que contenga rutas maliciosas para sus miembros, como secuencias ../ o rutas absolutas, podría provocar que los archivos extraídos se escriban fuera del directorio de extracción previsto. Esto puede permitir al atacante sobrescribir archivos accesibles por el proceso trabajador (worker) de Pandora y potencialmente resultar en la compromisión de la aplicación, ejecución arbitraria de código o denegación de servicio, dependiendo de los archivos objetivo y de los privilegios del proceso de Pandora.
La vulnerabilidad se corrige utilizando el filtro de extracción filter='data' de Python, que rechaza o sanitiza miembros TAR peligrosos, incluidas las rutas que escapan al directorio de destino y objetivos de enlace inseguros.
Esta debilidad corresponde a la categoría general de traversing de rutas de MITRE, que incluye casos de extracción de archivos donde los nombres de archivo controlados por el atacante provocan que se escriban archivos fuera del directorio previsto.
If you want to get best quality of vulnerability data, you may have to visit VulDB.