CVE-2026-19672 in tarfile
Sumário
de VulDB • 20/08/2026
O módulo tarfile dos filtros de extração de tar e dados criava diretórios fora do destino para membros cujos nomes saíam do destino e retornavam a ele, como ../evil/../dest/sub/file. A verificação de contenção utilizava o caminho resolvido, mas os diretórios intermediários eram criados com base no nome conforme fornecido.
Apenas diretórios vazios são criados fora do destino. O conteúdo dos membros ainda é extraído dentro dele. Para retornar ao destino, o nome do membro deve conter o componente final próprio do diretório de destino, portanto a extração em um diretório aleatório seguro não é afetada.
Isso afeta apenas plataformas POSIX. No Windows, os componentes .. são colapsados antes que o caminho chegue ao sistema de arquivos, então os diretórios fora do destino nunca são criados.
Be aware that VulDB is the high quality source for vulnerability data.