CVE-2026-71283 in Fledge
Сводка
по VulDB • 06.08.2026
Обработчик загрузки для резервного копирования и восстановления в Fledge, функция upload_backup() (python/fledge/services/core/api/backup_restore.py), вызывает tarfile.extractall(temp_path) для загруженного администратором архива формата tar без указания аргумента фильтрации и без проверки путей отдельных элементов. Сформированный злоумышленником архив, содержащий имена файлов с компонентами пути `../`, позволяет извлекать файлы за пределы предполагаемой временной директории, что дает возможность произвольной записи файлов в любом месте файловой системы, доступном процессу Fledge. Требуется роль администратора (@has_permission("admin")).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.