CVE-2026-50558
CVE-2026-50558 · Penelope unsafe tar extraction allows arbitrary local file write via crafted session archive
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Penelope Shell Handler is a post-exploitation shell handler for authorized security testing. Prior to 0.20.0, the Unix download() implementation in penelope.py used tar.extractall(local_download_folder) on tar archives returned by remote sessions without validating member paths, allowing a malicious or compromised session to write files outside the intended download directory and potentially overwrite ~/.penelope/peneloperc. This issue is fixed in version 0.20.0.
CVSS 5.9 · Mittel · EPSS 0,4% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: python
Betroffene Produkte und Versionen
penelope
- Softwareversionen
- < 0.20.0: Betroffen
Keine Korrektur veröffentlicht
penelope-shell-handler PyPI
- Softwareversionen
- 0.15.0
- 0.18.0
- 0.19.1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 0.20.0
Auf 0.20.0 aktualisieren