CVE-2026-88069

Pandora-nın arxiv çıxarma işçisində (archive extraction worker) yol keçidi (path traversal) zəifliyi mövcuddur. Xüsusi hazırlanmış arxiv və ya disk obrazı emal edilərkən, nəticədə yaranan təyinat yerinin nəzərdə tutulmuş çıxarma kataloqunun daxilində qaldığına əmin olmadan hücumçu tərəfindən idarə olunan fayl yolları istifadə edilə bilər. Analiz üçün zərərli fayl göndərə bilən hücumçu, çıxarılan məzmunun təyin olunmuş çıxarma kataloqundan kənara yazılmasına səbəb olmaq üçün yol keçidi ardıcıllıqlarından və ya xüsusi hazırlanmış yollardan istifadə edə bilər ki, bu da Pandora işçi prosesi üçün əlçatan olan faylların üzərinə yazılma riskini yaradır. Uğurlu istismar tətbiq və ya sistem fayllarının icazəsiz dəyişdirilməsinə, xidmətdən imtinaya və Pandora prosesinin icazələrindən və üzərinə yazıla bilən fayllardan asılı olaraq daha geniş kompromisə səbəb ola bilər. Zəiflik, hər bir çıxarma təyinat yolu yazılmazdan əvvəl həll edilərək onun gözlənilən çıxarma kataloqunun altında qaldığının yoxlanılması ilə aradan qaldırılmışdır. Bu kataloqun xaricində həll olunan çıxarma cəhdləri rədd edilir və yol keçidi cəhdi kimi qeydə alınır.