CVE-2026-23949
Açıklama
Bazı kullanışlı dekoratörler ve bağlam yöneticileri sağlayan açık kaynaklı bir yazılım paketi olan jaraco.context, 5.2.0 sürümünden başlayarak 6.1.0 sürümünden önceki sürümlerde `jaraco.context.tarball()` fonksiyonunda bir Zip Slip yol aşımı (path traversal) zafiyetine sahiptir. Bu zafiyet, kötü niyetli tar arşivleri işlendiğinde saldırganların dosyaları hedeflenen çıkarma dizininin dışına çıkarmasına izin verebilir. strip_first_component filtresi yolu ilk `/` karakterinden böler ve ikinci bileşeni çıkarırken `../` dizilerine izin verir. `dummy_dir/../../etc/passwd` gibi yollar `../../etc/passwd` haline gelir. Bunun yanı sıra, içteki tar.gz dosyasının yine `../../config/.env` şeklinde çevrilen bir yol aşımı içeren `dummy_dir/../../config/.env` dosyasına sahip olduğu `dummy_dir/inner.tar.gz` gibi çok seviyeli tar dosyalarıyla iç içe geçmiş tarball saldırısından da etkilendiğine dikkat edilmelidir. 6.1.0 sürümü bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- jaraco jaraco.context6.1.0 ya da sonraki bir sürüm
- jaraco-context6.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jaraco jaraco.context | 5.2.0 ≤ v < 6.1.0 | 6.1.0 |
| jaraco-contextPyPI | 5.2.0 ≤ v < 6.1.0 | 6.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.