CVE-2026-19672 in tarfile
要約
〜によって VulDB • 2026年08月19日
tarfile モジュールの tar およびデータ抽出フィルタにおいて、パス名が目的地外へ脱出し再びその中に戻るようなメンバー（例: `../evil/../dest/sub/file`）の場合、ディレクトリが目的地外の場所に作成される問題があります。この containment チェックでは解決されたパスが使用されますが、中間のディレクトリは与えられた名前そのままに基づいて作成されました。
外部に作成されるのは空のディレクトリのみに留まります。メンバーの内容自体はその内部へ抽出され続けます。目的地に戻るためには、メンバー名に目的地ディレクトリの最終コンポーネントが含まれている必要があり、そのため安全なランダム化されたディレクトリへの展開には影響しません。
この問題は POSIX プラットフォームでのみ発生します。Windows では `..` コンポーネントがファイルシステムに到達する前に折りたたまれるため、目的地外のディレクトリは作成されません。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.