CVE-2025-4138

总结

该漏洞允许提取过滤器被忽略，从而使符号链接目标可以指向目标目录之外，并允许修改某些文件元数据。如果你使用 tarfile 模块通过 TarFile.extractall() 或 TarFile.extract() 并搭配 filter= 参数（取值为 "data" 或 "tar"）提取不受信任的 tar 归档，那么你就会受到此漏洞的影响。更多信息请参阅 tarfile 提取过滤器文档 https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filter。请注意，对于 Python 3.14 或更高版本，filter= 的默认值已从"无过滤"改为 `"data", 因此如果你依赖这一新的默认行为，那么你的使用也会受到影响。另请注意，这些漏洞都不会显著影响作为 tar 归档的源代码发行版的安装，因为源代码发行版在构建过程中已经允许任意代码执行。不过，在评估源代码发行版时，务必避免安装带有可疑链接的源代码发行版。

• CVE-2025-4138-POCPoC

  Python PoC for CVE-2025-4138，一种利用符号链接链绕过PATH_MAX实现任意文件写入的Python tarfile模块路径遍历漏洞。

• CVE-2025-4138-4517-POCPoC

  CVE-2025-4138 / CVE-2025-4517 — Python tarfile PATH_MAX Symlink Filter Bypass 符号链接过滤器绕过

• CVE-2025-4138-poc漏洞利用

  一个生成恶意 tar 归档文件以利用 CVE-2025-4138 / CVE-2025-4517 的 Python 脚本。