CVE-2026-74767

Pandora proqram təminatında DAA (Direct Access Archive) fayllarının emalı zamanı xidmətdən imtina (DoS) zəifliyi aşkar edilmişdir. DAA arxivindən daxili ISO obrazının çıxarılması zamanı sıxılmış hissələr, nəticədə yaranan sıxılmamış məlumatlara heç bir limit tətbiq edilmədən zlib.decompress() vasitəsilə açılırdı. Yüksək dərəcədə sıxılmış məlumatlar ehtiva edən xüsusi hazırlanmış DAA faylını göndərə bilən hücumçu, Pandoranın nisbətən kiçik giriş məlumatlarını yaddaşda çox böyük həcmdə məlumata çevirməsinə səbəb ola bilər. Sıxılmış hissələr daxili ISO obrazını qurmaq üçün toplandığından, bu, həddindən artıq yaddaş istehlakına və potensial olaraq CPU resurslarının tükənməsinə gətirib çıxara bilər ki, bu da çıxarma prosesini yerinə yetirən işçinin (worker) cavabsız qalmasına, dayanmasına və ya Pandora xidmətinin əlçatanlığına təsir göstərməsinə səbəb olar. Təmir (patch), max_extracted_filesize parametri ilə decompressobj().decompress() istifadə edərək məhdudlaşdırılmış sıxılmanın açılmasını tətbiq edir, sıxılmış hissələrin ümumi ölçüsünü yoxlayır və konfiqurasiya edilmiş limit keçildikdə xüsusi ZipBomb istisnası yaradır. Bundan sonra Pandora çıxarma prosesini dayandırır və faylın həddindən artıq böyük olduğu barədə hesabat verir.