CVE-2026-74764

Pandora, TAR arşivi çıkarma işlevselliğinde bir yol geçişi (path traversal) güvenlik açığı içermektedir. Gönderilen bir TAR arşivini işlerken, çıkarıcı arşiv üye adlarını herhangi bir çıkarma filtresi uygulamadan doğrudan Python'un tarfile.TarFile.extract() işlevine aktarmıştır. ../ dizileri veya mutlak yollar gibi kötü niyetli üye yolları içeren özel olarak hazırlanmış bir TAR arşivini gönderebilen bir saldırgan, çıkarılan dosyaların amaçlanan çıkarma dizininin dışına yazılmasına neden olabilir. Bu durum, saldırganın Pandora worker süreci tarafından erişilebilen dosyaların üzerine yazmasına olanak tanıyabilir ve hedeflenen dosyalara ve Pandora sürecinin ayrıcalıklarına bağlı olarak potansiyel olarak uygulama ele geçirilmesi, rastgele kod çalıştırma veya hizmet reddi ile sonuçlanabilir. Güvenlik açığı, hedef dizinin dışına çıkan yollar ve güvenli olmayan bağlantı hedefleri dahil olmak üzere tehlikeli TAR üyelerini reddeden veya temizleyen Python'un filter='data' çıkarma filtresinin kullanılmasıyla giderilmiştir. Zayıflık, saldırgan tarafından kontrol edilen dosya adlarının dosyaların amaçlanan dizinin dışına yazılmasına neden olduğu arşiv çıkarma durumlarını içeren MITRE'nin genel yol geçişi kategorisine karşılık gelmektedir.