p PatchFirst

CVE-2026-50558

CVE-2026-50558 · Penelope unsafe tar extraction allows arbitrary local file write via crafted session archive

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Penelope Shell Handler is a post-exploitation shell handler for authorized security testing. Prior to 0.20.0, the Unix download() implementation in penelope.py used tar.extractall(local_download_folder) on tar archives returned by remote sessions without validating member paths, allowing a malicious or compromised session to write files outside the intended download directory and potentially overwrite ~/.penelope/peneloperc. This issue is fixed in version 0.20.0.

CVSS 5.9 · Media · EPSS 0,4% · Corrección disponible

Publicación
Actualización

Pila tecnológica: python

Productos y versiones afectados

  • penelope

    Versiones
    • < 0.20.0: Afectada

    Sin corrección publicada

  • penelope-shell-handler PyPI

    Versiones
    • 0.15.0
    • 0.18.0
    • 0.19.1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 0.20.0

    Actualiza a 0.20.0

Fuentes originales

Comprueba tu servidor →