p PatchFirst

CVE-2026-3087

CVE-2026-3087 · shutil.unpack_archive() doesn't check for Windows absolute paths in ZIPs

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

If `shutil.unpack_archive()` is given a ZIP archive with an absolute Windows path containing a drive (`C:\\...`) then the archive will be extracted outside the target directory which is different than other operating systems. Only Windows is affected by this vulnerability.

CVSS 6.0 · Mittel · EPSS 0,6% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: python

Betroffene Produkte und Versionen

  • python

    Softwareversionen
    • ≥ 0, < 3.10.21: Betroffen (python)
    • ≥ 3.11.0, < 3.11.16: Betroffen (python)
    • ≥ 3.12.0, < 3.12.14: Betroffen (python)
    • ≥ 3.13.0, < 3.13.14: Betroffen (python)
    • ≥ 3.14.0a1, < 3.14.5rc1: Betroffen (python)
    • ≥ 3.15.0a1, < 3.15.0b1: Betroffen (python)

    Auf 3.10.21 aktualisieren; Auf 3.11.16 aktualisieren; Auf 3.12.14 aktualisieren; Auf 3.13.14 aktualisieren; Auf 3.14.5rc1 aktualisieren; Auf 3.15.0b1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →