CVE-2026-104103

Ludwig; özel LLM'ler, sinir ağları ve diğer yapay zeka modelleri oluşturmak için kullanılan düşük kodlu bir çerçevedir. 0.17.8 sürümünden önce, ludwig.datasets.archives.extract_archive(), TarFile.extractall() fonksiyonunu çağırmadan önce tar üye isimlerini doğrulamaktaydı ancak sembolik bağlantı (symlink) üyelerini veya sert bağlantı (hard-link) üyelerini doğrulamıyordu. Özel olarak hazırlanmış bir arşiv, çıkarma dizininin dışına çıkan bir bağlantı oluşturabilir ve ardından bu bağlantı aracılığıyla daha sonraki bir üyeyi yazarak, saldırgan tarafından kontrol edilen içeriği dosya sisteminde rastgele bir yola, çıkarma işlemini gerçekleştiren sürecin yetkileriyle yerleştirebilir. Aynı kapsama kontrolü os.path.commonprefix kullandığından, hedefle karakter ön ekini paylaşan kardeş bir yol da kontrolü geçebilirdi. Veri kümesi yükleme yolu, yapılandırılmış arşiv URL'lerini indirebilir ve çıkarabilir; ancak istismar edilmesi için kullanıcının, desteklenen Python 3.12 ve 3.13 çalışma zamanlarında, saldırgan tarafından kontrol edilen veya ele geçirilen bir kaynaktan gelen arşivi işlemesi gerekir. Varsayılan tar veri filtresi kaçış bağlantılarını reddettiği için Python 3.14 etkilenmemektedir. Bu sorun 0.17.8 sürümünde düzeltilmiştir.