CVE-2026-41140
Yüksək
Təsvir
Poetry Python üçün asılılıq meneceridir. 2.3.4 versiyasından əvvəl, src/poetry/utils/helpers.py:410-426 faylındakı extractall() funksiyası, tarfile.data_filter mövcud olmayan Python versiyalarında sdist tarball-larını yol keçirilməsi (path traversal) mühafizəsi olmadan çıxarır. Yalnız Poetry tərəfindən hələ də dəstəklənən Python versiyaları nəzərə alındıqda, bunlar 3.10.0 - 3.10.12 və 3.11.0 - 3.11.4 versiyalarıdır. Bu zəiflik 2.3.4 versiyasında aradan qaldırılmışdır.
CiddilikYüksək
CVSS8.7
İstismar ehtimalı—
MəhsulPoetry
Dərc24 apr 2026
İlk görülmə24 apr 2026
Zəiflik növüCWE-22Kataloq keçidi (path traversal)
Necə düzəltmək olar
Yeniləyin
- poetry2.3.4 və ya daha yeni versiya
İstehsalçı bildirişləri
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| poetryPyPI | v < 2.3.4 | 2.3.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.