CVE-2026-88069
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Pandora zawiera lukę w zabezpieczeniach umożliwiającą przekroczenie ścieżki w swoim procesie rozpakowywania archiwów. Podczas przetwarzania specjalnie spreparowanego archiwum lub obrazu dysku można użyć kontrolowanych przez osobę atakującą ścieżek plików, nie zapewniając, że wynikowe miejsce docelowe pozostanie w zamierzonym katalogu wyodrębniania.
Osoba atakująca, która może przesłać złośliwy plik do analizy, może użyć sekwencji przechodzenia ścieżek lub spreparowanych ścieżek, aby spowodować zapisanie wyodrębnionej zawartości poza wyznaczonym katalogiem wyodrębniania, potencjalnie nadpisując pliki dostępne dla procesu roboczego Pandora. Skuteczne wykorzystanie może skutkować nieautoryzowaną modyfikacją plików aplikacji lub plików systemowych, odmową usługi i potencjalnie dalszym naruszeniem bezpieczeństwa, w zależności od uprawnień procesu Pandora i plików, które można zastąpić.
Lukę usuwa się poprzez rozpoznanie każdej ścieżki docelowej wyodrębniania przed zapisaniem i sprawdzenie, czy znajduje się ona poniżej oczekiwanego katalogu wyodrębniania. Próby wyodrębnienia rozwiązane poza tym katalogiem są odrzucane i zgłaszane jako próby przejścia ścieżki.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org