CVE-2025-12060

Keras'taki keras.utils.get_file API'si, tar arşivleri için extract=True seçeneğiyle kullanıldığında yol geçişi saldırısına karşı savunmasızdır. Yardımcı program, Python'un tarfile.extractall işlevini filter="data" özelliği olmadan kullanır. Uzak bir saldırgan, özel sembolik bağlantılar içeren kötü amaçlı bir tar arşivi oluşturabilir ve bu arşiv çıkarıldığında, hedeflenen hedef klasörün dışındaki dosya sisteminde herhangi bir konuma rastgele dosyalar yazmasına olanak tanır. Bu güvenlik açığı, CVE-2025-4517 olarak tanımlanan temel Python tarfile zayıflığıyla bağlantılıdır. Python'u CVE-2025-4517'yi düzelten sürümlerden birine (ör. Python 3.13.4) yükseltmenin yeterli olmadığını unutmayın. Ayrıca Keras'ın düzeltmeyi içeren bir sürümüne (Keras 3.12) yükseltilmesi gerekir.