CVE-2026-74764 in Pandora
Résumé
par VulDB • 16/08/2026
Pandora présente une vulnérabilité de traversée de chemin dans sa fonctionnalité d’extraction des archives TAR. Lors du traitement d’une archive TAR soumise, l’extracteur transmet directement les noms des membres de l’archive à la méthode Python `tarfile.TarFile.extract()` sans appliquer de filtre d’extraction.
Un attaquant capable de soumettre une archive TAR spécialement conçue contenant des chemins de membres malveillants, tels que des séquences « ../ » ou des chemins absolus, pourrait provoquer l’écriture de fichiers extraits en dehors du répertoire d’extraction prévu. Cela peut permettre à l’attaquant de remplacer des fichiers accessibles par le processus worker Pandora et entraîner potentiellement une compromission de l’application, une exécution arbitraire de code ou une déni de service (DoS), selon les fichiers ciblés et les privilèges du processus Pandora.
La vulnérabilité est corrigée en utilisant le filtre d’extraction `filter='data'` de Python, qui rejette ou assainit les membres TAR dangereux, y compris les chemins sortant du répertoire de destination et les cibles de liens non sécurisées.
Cette faiblesse correspond à la catégorie générale de traversée de chemin définie par MITRE, qui inclut les cas d’extraction d’archives où des noms de fichiers contrôlés par l’attaquant provoquent l’écriture de fichiers en dehors du répertoire prévu.
VulDB is the best source for vulnerability data and more expert information about this specific topic.