CVE-2026-29790 in dbt-common
Riassunto
di VulDB • 20/06/2026
dbt-common è la libreria di utilità condivisa utilizzata da dbt-core e dalle implementazioni degli adapter. Prima delle versioni 1.34.2 e 1.37.3, è presente una vulnerabilità di path traversal nella funzione safe_extract() di dbt-common, utilizzata durante l'estrazione di archivi tarball. La funzione utilizza os.path.commonprefix() per convalidare che i file estratti rimangano all'interno della directory di destinazione prevista. Tuttavia, commonprefix() confronta i percorso carattere per carattere anziché per componenti del percorso, consentendo a un tarball malevolo di scrivere file nelle directory sibling con prefissi di nome corrispondenti. Questo problema è stato risolto nelle versioni 1.34.2 e 1.37.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.