CVE-2025-4330

ملخص

يسمح بتجاهل عامل تصفية الاستخراج، مما يسمح لأهداف الروابط الرمزية (symlink) بالإشارة إلى خارج دليل الوجهة، وتعديل بعض البيانات الوصفية للملفات. أنت متأثر بهذه الثغرة إذا كنت تستخدم وحدة tarfile لاستخراج أرشيفات tar غير الموثوقة باستخدام TarFile.extractall() أو TarFile.extract() مع معامل filter= بقيمة "data" أو "tar". راجع توثيق عوامل تصفية استخراج tarfile https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filter لمزيد من المعلومات. لاحظ أنه بالنسبة لـ Python 3.14 أو الأحدث، تغيرت القيمة الافتراضية لمعامل filter= من "no filtering" إلى `"data"، لذا إذا كنت تعتمد على هذا السلوك الافتراضي الجديد فإن استخدامك متأثر أيضًا. لاحظ أن أياً من هذه الثغرات لا يؤثر بشكل كبير على تثبيت التوزيعات المصدرية (source distributions) التي تكون أرشيفات tar، لأن التوزيعات المصدرية تسمح بالفعل بتنفيذ تعليمات برمجية عشوائية أثناء عملية البناء. ومع ذلك، عند تقييم التوزيعات المصدرية، من المهم تجنب تثبيت التوزيعات المصدرية التي تحتوي على روابط مشبوهة.

• CVE-2025-4517-tarfile-PATH_MAX-bypassاستغلال

  تجاوز مرشح البيانات في Python tarfile عبر تجاوز PATH_MAX في os.path.realpath() - CVE-2025-4517 / CVE-2025-4330