CVE-2026-74764 in Pandora
要約
〜によって VulDB • 2026年08月16日
Pandoraには、TARアーカイブの展開機能におけるパストラバーサル脆弱性が存在します。送信されたTARアーカイブを処理する際、エクストラクタは抽出フィルタを適用せずに、Pythonのtarfile.TarFile.extract()に直接アーカイブメンバの名前を渡していました。
攻撃者が「../」シーケンスや絶対パスなど、悪意のあるメンバパスを含む特別に作成されたTARアーカイブを送信できる場合、展開されるファイルが意図した展開ディレクトリの外側に書き込まれる可能性があります。これにより、Pandoraワーカープロセスからアクセス可能なファイルを上書きでき、ターゲットとなるファイルおよびPandoraプロセスの権限に応じて、アプリケーションの乗っ取り、任意のコード実行、またはサービス拒否（DoS）につながる可能性があります。
この脆弱性は、Pythonのfilter='data'抽出フィルタを使用することで修正されます。これにより、宛先ディレクトリから逸脱するパスや安全でないリンクターゲットなど、危険なTARメンバが拒否されたり、サニタイズされたりします。
この欠陥は、攻撃者が制御できるファイル名によって意図したディレクトリの外側にファイルが書き込まれるアーカイブ展開のケースを含む、MITREの一般的なパストラバーサルカテゴリに該当します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.