CVE-2026-12482

keras-team/keras sürüm 3.12.0'daki bir güvenlik açığı, saldırganın `keras/src/utils/file_utils.py` dosyasındaki `filter_safe_tarinfos` doğrulamasını atlayan kötü amaçlı bir tar arşivi oluşturmasına olanak tanır. Özellikle, sembolik bağlantı (symlink) girişleri, normal dosya girişleriyle aynı `is_path_in_dir` doğrulamasına tabi tutulmaz ve bu durum, hedeflenen çıkarma dizininin dışında sembolik bağlantılar oluşturulmasına izin verir. Bu durum; sembolik bağlantı tabanlı dosya okuma, dosya üzerine yazma veya dizin dışına çıkma (directory escape) saldırılarına yol açabilir. Sorun, `filter_safe_tarinfos` fonksiyonunun tar yolu atlama (path traversal) işlemine karşı tek savunma olduğu Python 3.10 ve 3.11 sürümlerinde özellikle etkilidir. Bu güvenlik açığı, CVE-2025-12060 ve daha önce bildirilen diğer sorunlardan farklıdır.