p PatchFirst

CVE-2026-3087

CVE-2026-3087 · shutil.unpack_archive() doesn't check for Windows absolute paths in ZIPs

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

If `shutil.unpack_archive()` is given a ZIP archive with an absolute Windows path containing a drive (`C:\\...`) then the archive will be extracted outside the target directory which is different than other operating systems. Only Windows is affected by this vulnerability.

CVSS 6.0 · Media · EPSS 0,6% · Corrección disponible

Publicación
Actualización

Pila tecnológica: python

Productos y versiones afectados

  • python

    Versiones
    • ≥ 0, < 3.10.21: Afectada (python)
    • ≥ 3.11.0, < 3.11.16: Afectada (python)
    • ≥ 3.12.0, < 3.12.14: Afectada (python)
    • ≥ 3.13.0, < 3.13.14: Afectada (python)
    • ≥ 3.14.0a1, < 3.14.5rc1: Afectada (python)
    • ≥ 3.15.0a1, < 3.15.0b1: Afectada (python)

    Actualiza a 3.10.21; Actualiza a 3.11.16; Actualiza a 3.12.14; Actualiza a 3.13.14; Actualiza a 3.14.5rc1; Actualiza a 3.15.0b1

Fuentes originales

Comprueba tu servidor →