p PatchFirst

CVE-2026-3087

CVE-2026-3087 · shutil.unpack_archive() doesn't check for Windows absolute paths in ZIPs

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

If `shutil.unpack_archive()` is given a ZIP archive with an absolute Windows path containing a drive (`C:\\...`) then the archive will be extracted outside the target directory which is different than other operating systems. Only Windows is affected by this vulnerability.

CVSS 6.0 · Moyenne · EPSS 0,6% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • python

    Versions du logiciel
    • ≥ 0, < 3.10.21: Concernée (python)
    • ≥ 3.11.0, < 3.11.16: Concernée (python)
    • ≥ 3.12.0, < 3.12.14: Concernée (python)
    • ≥ 3.13.0, < 3.13.14: Concernée (python)
    • ≥ 3.14.0a1, < 3.14.5rc1: Concernée (python)
    • ≥ 3.15.0a1, < 3.15.0b1: Concernée (python)

    Mettez à jour vers 3.10.21; Mettez à jour vers 3.11.16; Mettez à jour vers 3.12.14; Mettez à jour vers 3.13.14; Mettez à jour vers 3.14.5rc1; Mettez à jour vers 3.15.0b1

Sources originales

Vérifiez votre serveur →