CVE-2026-74764

Pandora-nın TAR arxivlərinin çıxarılması funksionallığında yol keçidi (path traversal) zəifliyi mövcuddur. Təqdim edilmiş TAR arxivi emal edilərkən, ekstraktor arxiv üzvlərinin adlarını çıxarma filtri tətbiq etmədən birbaşa Python-un tarfile.TarFile.extract() funksiyasına ötürürdü. ../ ardıcıllıqlarından və ya mütləq yollardan istifadə edən zərərli üzv yolları ehtiva edən xüsusi hazırlanmış TAR arxivini təqdim edə bilən hücumçu, çıxarılan faylların nəzərdə tutulmuş çıxarma kataloqundan kənara yazılmasına səbəb ola bilər. Bu, hücumçuya Pandora işçi prosesi üçün əlçatan olan faylları yenidən yazmağa imkan verə bilər və hədəf seçilən fayllardan və Pandora prosesinin imtiyazlarından asılı olaraq tətbiqin kompromisə uğramasına, ixtiyari kodun icrasına və ya xidmətdən imtinaya səbəb ola bilər. Zəiflik, təhlükəli TAR üzvlərini, o cümlədən təyinat kataloqundan kənara çıxan yolları və təhlükəsiz olmayan keçid hədəflərini rədd edən və ya təmizləyən Python-un filter='data' çıxarma filtrindən istifadə etməklə düzəldilmişdir. Bu zəiflik MITRE-nin ümumi yol keçidi kateqoriyasına uyğundur ki, bura hücumçunun idarə etdiyi fayl adlarının faylların nəzərdə tutulmuş kataloqundan kənarda yazılmasına səbəb olduğu arxiv çıxarma halları daxildir.