CVE-2025-58438

internetarchive, Archive.org üçün Python və Komanda Sətri İnterfeysidir. Versiya 5.5.0 və daha aşağı versiyalarda, internetarchive kitabxanasının File.download() metodunda kataloq keçidi (directory traversal / path traversal) zəifliyi mövcuddur. file.download() metodu istifadəçi tərəfindən təqdim edilən fayl adlarını düzgün şəkildə təmizləmir və ya yekun yükləmə yolunu yoxlamır. Zərərli şəkildə hazırlanmış fayl adı kataloq keçidi ardıcıllıqları (məsələn, ../../../../windows/system32/file.txt) və ya qeyri-qanuni simvollar ehtiva edə bilər ki, bu da emal zamanı faylın nəzərdə tutulmuş hədəf kataloqundan kənara yazılmasına səbəb olar. Hücumçu, kitabxananın istifadə olunduğu kontekstdən asılı olaraq, kritik sistem fayllarını və ya tətbiqin konfiqurasiya fayllarını yenidən yaza bilər ki, bu da xidmətdən imtinaya, imtiyazların yüksəldilməsinə və ya uzaqdan kodun icrasına gətirib çıxara bilər. Bu zəiflik xüsusilə Windows sistemlərində olan istifadəçilər üçün kritikdir, lakin bütün əməliyyat sistemləri təsirlənmişdir. Problem 5.5.1 versiyasında aradan qaldırılmışdır.