CVE-2026-74764 in Pandora
Сводка
по VulDB • 16.08.2026
В Pandora обнаружена уязвимость обхода пути (path traversal) в функциональности извлечения архивов TAR. При обработке загруженного архива TAR компонент извлечения передает имена файлов внутри архива напрямую функции Python tarfile.TarFile.extract() без применения фильтра извлечения.
Атакующий, имеющий возможность загрузить специально созданный архив TAR с вредоносными путями к файлам (например, использующими последовательности ../ или абсолютные пути), может привести к записи извлеченных файлов вне предполагаемой директории извлечения. Это может позволить атакующему перезаписать файлы, доступные процессу worker Pandora, и потенциально привести к компрометации приложения, выполнению произвольного кода (arbitrary code execution) или отказу в обслуживании (DoS), в зависимости от целевых файлов и привилегий процесса Pandora.
Уязвимость устранена путем использования фильтра извлечения filter='data' в Python, который отвергает или санитизирует опасные элементы архива TAR, включая пути, выходящие за пределы директории назначения, а также небезопасные цели ссылок (symlinks).
Данная уязвимость соответствует общей категории обхода пути (path traversal) MITRE, которая включает случаи извлечения архивов, когда управляемые атакующим имена файлов приводят к записи данных вне предполагаемой директории.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.