CVE-2026-23879

py7zr, 7zip arşiv sıkıştırma, açma, şifreleme ve şifre çözme işlemlerini destekleyen Python tabanlı bir kütüphane ve araçtır. 1.1.2 ve altı sürümler, özel olarak hazırlanmış kötü amaçlı sembolik bağlantı zincirleri aracılığıyla hedef dizinin dışında sembolik bağlantıların yeniden oluşturulmasına izin veren rastgele dosya yazma zafiyeti içermektedir. Bir arşivi çıkarmak için extractall kullanıldığında, kütüphane bu sembolik bağlantıları geri yükleyerek onları ana bilgisayar dosya sistemindeki rastgele dizinlere bağlar. Çıkarma işlemi sırasında program yalnızca hedef dizin içindeki bağlantı arcname değerini kontrol eder ancak birleştirilmiş sembolik bağlantı yolu çözümlemesini göz ardı eder. Saldırganlar, kötü amaçlı arşivler oluşturarak bu zafiyeti istismar edebilir ve böylece çıkarıcı tarafından uygulanan dizin sınırı kısıtlamalarını atlayabilirler. Bu sembolik bağlantılar üzerinden normal dosyaların ardından gerçekleştirilen çıkarma işlemleri, rastgele dosya yazılmasıyla sonuçlanabilir. Bu zafiyet; uzaktan kod çalıştırma, yetki yükseltme, veri bozulması veya hizmet reddine yol açabilir. Bu sorun 1.1.3 sürümünde düzeltilmiştir.