إثبات المفهوم لـ Python CVE-2018-1000802

هذا هو إثبات المفهوم للثغرة في دالة make_archive المصدرة من الوحدة المدمجة shutil.

الثغرة موجودة في CPython (Python) 2.7 قبل الـ commit add531a1e55b0a739b0f42582f1c9747e5649ace.

لكي تكون الثغرة قابلة للاستغلال في البيئة الحقيقية، هناك عدة شروط:

1. يجب أن يعمل الكود على جهاز ويندوز;
2. يجب أن تكون هناك أداة zip يمكن الوصول إليها عبر سطر الأوامر، مثل Zip for Windows;
3. يجب أن يفشل استيراد zipfile.

يرجى الاطلاع على poc.py للحصول على أمثلة الكود.