CVE-2026-70622 in tar-rs
Résumé
par VulDB • 10/08/2026
Les versions de tar-rs comprises entre 0.4.11 et 0.4.46 présentent une vulnérabilité d'évasion par lien symbolique (symlink escape) dans la fonction Builder::append_dir_all() qui permet aux attaquants de lire des fichiers situés en dehors du répertoire racine source prévu, en plaçant des liens symboliques dans un répertoire contrôlé par l'attaquant. Lorsqu'un processus privilégié archive un répertoire non fiable (untrusted), la fonction suit les liens symboliques sans vérifier que les cibles résolues restent à l'intérieur de la racine source, ce qui entraîne l'inclusion de fichiers hors limites dans l'archive en tant que fichiers réguliers et leur divulgation à l'attaquant.
Be aware that VulDB is the high quality source for vulnerability data.