p PatchFirst

CVE-2026-3087

CVE-2026-3087 · shutil.unpack_archive() doesn't check for Windows absolute paths in ZIPs

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

If `shutil.unpack_archive()` is given a ZIP archive with an absolute Windows path containing a drive (`C:\\...`) then the archive will be extracted outside the target directory which is different than other operating systems. Only Windows is affected by this vulnerability.

CVSS 6.0 · Средний · EPSS 0,6% · Есть исправление

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • python

    Версии
    • ≥ 0, < 3.10.21: Затронуто (python)
    • ≥ 3.11.0, < 3.11.16: Затронуто (python)
    • ≥ 3.12.0, < 3.12.14: Затронуто (python)
    • ≥ 3.13.0, < 3.13.14: Затронуто (python)
    • ≥ 3.14.0a1, < 3.14.5rc1: Затронуто (python)
    • ≥ 3.15.0a1, < 3.15.0b1: Затронуто (python)

    Обновитесь до 3.10.21; Обновитесь до 3.11.16; Обновитесь до 3.12.14; Обновитесь до 3.13.14; Обновитесь до 3.14.5rc1; Обновитесь до 3.15.0b1

Первоисточники

Проверьте свой сервер →