CVE-2025-58438

internetarchive, Archive.org için bir Python ve Komut Satırı Arayüzüdür. 5.5.0 ve altı sürümlerde, internetarchive kütüphanesinin File.download() metodunda bir dizin gezginliği (directory traversal / path traversal) zafiyeti bulunmaktadır. file.download() metodu, kullanıcı tarafından sağlanan dosya adlarını uygun şekilde temizlememekte veya nihai indirme yolunu doğrulamamaktadır. Kötü niyetle oluşturulmuş bir dosya adı, işlendiğinde dosyanın hedeflenen hedef dizinin dışına yazılmasına neden olacak dizin gezginliği dizileri (örneğin, ../../../../windows/system32/file.txt) veya geçersiz karakterler içerebilir. Bir saldırgan, kütüphanenin kullanıldığı bağlama bağlı olarak hizmet reddi, yetki yükseltme veya uzaktan kod çalıştırmaya yol açabilecek kritik sistem dosyalarını veya uygulama yapılandırma dosyalarını potansiyel olarak üzerine yazabilir. Zafiyet özellikle Windows sistemlerdeki kullanıcılar için kritiktir ancak tüm işletim sistemleri etkilenmektedir. Bu sorun 5.5.1 sürümünde düzeltilmiştir.