p PatchFirst

CVE-2026-4360

CVE-2026-4360 · Tarfile.extract() doesn't fully respect filter parameter

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

In the Tarfile.extract() function, the filter parameter is not passed properly when extracting hardlinks. An affected system that extracts content from untrusted tar files could end up writing files with an unexpected uid/gid despite the user passing filter='data' to the extract() function.

CVSS 2.0 · Faible · EPSS 0,5% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · python

Produits et versions concernés

  • python

    Versions du logiciel
    • ≥ 0, < 3.10.21: Concernée (python)
    • ≥ 3.11.0, < 3.11.16: Concernée (python)
    • ≥ 3.12.0, < 3.12.14: Concernée (python)
    • ≥ 3.13.0, < 3.13.15: Concernée (python)
    • ≥ 3.14.0, < 3.14.7: Concernée (python)
    • ≥ 3.15.0a1, < 3.15.0b4: Concernée (python)

    Mettez à jour vers 3.10.21; Mettez à jour vers 3.11.16; Mettez à jour vers 3.12.14; Mettez à jour vers 3.13.15; Mettez à jour vers 3.14.7; Mettez à jour vers 3.15.0b4

  • pypy3 Debian:13

    Versions du logiciel
    • 7.3.19+dfsg-2
    • 7.3.20+dfsg-1
    • 7.3.20+dfsg-2
    • 7.3.20+dfsg-3
    • 7.3.20+dfsg-4
    • 7.3.21+dfsg-1
    • 7.3.21+dfsg-2
    • 7.3.21+dfsg-3
    • 7.3.21+dfsg-4
    • 7.3.22+dfsg-1
    • 7.3.23+dfsg-1
    • 7.3.23+dfsg-2
    • 8.0.0+dfsg-1
    • 8.0.1+dfsg-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • pypy3 Debian:14

    Versions du logiciel
    • 7.3.19+dfsg-2
    • 7.3.20+dfsg-1
    • 7.3.20+dfsg-2
    • 7.3.20+dfsg-3
    • 7.3.20+dfsg-4
    • 7.3.21+dfsg-1
    • 7.3.21+dfsg-2
    • 7.3.21+dfsg-3
    • 7.3.21+dfsg-4
    • 7.3.22+dfsg-1
    • 7.3.23+dfsg-1
    • 7.3.23+dfsg-2
    Plages de versions concernées
    • ECOSYSTEM: < 8.0.0+dfsg-1

    Mettez à jour vers 8.0.0+dfsg-1

  • python3.13 Debian:13

    Versions du logiciel
    • 3.13.5-2
    • 3.13.5-2+deb13u1
    • 3.13.5-2+deb13u2
    • 3.13.5-2+deb13u3
    • 3.13.5-2+deb13u4
    Plages de versions concernées
    • ECOSYSTEM: < 3.13.5-2+deb13u5

    Mettez à jour vers 3.13.5-2+deb13u5

  • python3.13 Debian:14

    Versions du logiciel
    • 3.13.11-1
    • 3.13.12-1
    • 3.13.14-1
    • 3.13.5-2
    • 3.13.6-1
    • 3.13.7-1
    • 3.13.8-1
    • 3.13.9-1
    Plages de versions concernées
    • ECOSYSTEM: < 3.13.15-1

    Mettez à jour vers 3.13.15-1

  • python3.14 Debian:14

    Versions du logiciel
    • 3.14.0-1
    • 3.14.0-2
    • 3.14.0-3
    • 3.14.0-4
    • 3.14.0-5
    • 3.14.0~a7-1
    • 3.14.0~b1-1
    • 3.14.0~b2-1
    • 3.14.0~b3-1
    • 3.14.0~b4-1
    • 3.14.0~rc1-1
    • 3.14.0~rc2-1
    • 3.14.0~rc3-1
    • 3.14.2-1
    • 3.14.3-1
    • 3.14.3-2
    • 3.14.3-3
    • 3.14.3-4
    • 3.14.3-5
    • 3.14.4-1
    • 3.14.4-2
    • 3.14.5-1
    • 3.14.5~rc1-1
    • 3.14.6-1
    Plages de versions concernées
    • ECOSYSTEM: < 3.14.7-1

    Mettez à jour vers 3.14.7-1

  • python3.10 Ubuntu:22.04:LTS

    Versions du logiciel
    • 3.10.0-2
    • 3.10.0-3
    • 3.10.0-4
    • 3.10.0-5
    • 3.10.0-5build1
    • 3.10.1-1
    • 3.10.1-2
    • 3.10.2-1
    • 3.10.2-5
    • 3.10.2-7
    • 3.10.3-1
    • 3.10.4-3
    • 3.10.4-3ubuntu0.1
    • 3.10.6-1~22.04
    • 3.10.6-1~22.04.1
    • 3.10.6-1~22.04.2
    • 3.10.6-1~22.04.2ubuntu1
    • 3.10.6-1~22.04.2ubuntu1.1
    • 3.10.12-1~22.04.2
    • 3.10.12-1~22.04.3
    • 3.10.12-1~22.04.4
    • 3.10.12-1~22.04.5
    • 3.10.12-1~22.04.6
    • 3.10.12-1~22.04.7
    • 3.10.12-1~22.04.8
    • 3.10.12-1~22.04.9
    • 3.10.12-1~22.04.10
    • 3.10.12-1~22.04.11
    • 3.10.12-1~22.04.12
    • 3.10.12-1~22.04.13
    • 3.10.12-1~22.04.14
    • 3.10.12-1~22.04.15
    • 3.10.12-1~22.04.16
    • 3.10.12-1~22.04.17
    Plages de versions concernées
    • ECOSYSTEM: < 3.10.12-1~22.04.18

    Mettez à jour vers 3.10.12-1~22.04.18

  • python3.12 Ubuntu:24.04:LTS

    Versions du logiciel
    • 3.12.0-1
    • 3.12.0-5
    • 3.12.0-6
    • 3.12.0-7
    • 3.12.1-2
    • 3.12.2-1
    • 3.12.2-4build3
    • 3.12.2-4build4
    • 3.12.2-5ubuntu3
    • 3.12.3-1
    • 3.12.3-1ubuntu0.1
    • 3.12.3-1ubuntu0.2
    • 3.12.3-1ubuntu0.3
    • 3.12.3-1ubuntu0.4
    • 3.12.3-1ubuntu0.5
    • 3.12.3-1ubuntu0.6
    • 3.12.3-1ubuntu0.7
    • 3.12.3-1ubuntu0.8
    • 3.12.3-1ubuntu0.9
    • 3.12.3-1ubuntu0.10
    • 3.12.3-1ubuntu0.11
    • 3.12.3-1ubuntu0.12
    • 3.12.3-1ubuntu0.13
    • 3.12.3-1ubuntu0.15
    • 3.12.3-1ubuntu0.16
    Plages de versions concernées
    • ECOSYSTEM: < 3.12.3-1ubuntu0.17

    Mettez à jour vers 3.12.3-1ubuntu0.17

  • python3.13 Ubuntu:25.10

    Versions du logiciel
    • 3.13.3-1
    • 3.13.3-2
    • 3.13.3-4
    • 3.13.4-1
    • 3.13.5-1
    • 3.13.5-2
    • 3.13.6-1
    • 3.13.7-1
    • 3.13.7-1ubuntu0.1
    • 3.13.7-1ubuntu0.2
    • 3.13.7-1ubuntu0.3
    • 3.13.7-1ubuntu0.4
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • python3.14 Ubuntu:25.10

    Versions du logiciel
    • 3.14.0~a7-0ubuntu1
    • 3.14.0~b1-1
    • 3.14.0~b3-1
    • 3.14.0~rc1-1
    • 3.14.0~rc2-1
    • 3.14.0~rc3-1
    • 3.14.0-1
    • 3.14.0-1ubuntu0.1
    • 3.14.0-1ubuntu0.2
    • 3.14.0-1ubuntu0.3
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • python3.14 Ubuntu:26.04:LTS

    Versions du logiciel
    • 3.14.0-1
    • 3.14.0-2
    • 3.14.0-4
    • 3.14.2-1
    • 3.14.3-1
    • 3.14.3-2
    • 3.14.3-3
    • 3.14.3-5
    • 3.14.4-1
    • 3.14.4-1ubuntu0.1
    Plages de versions concernées
    • ECOSYSTEM: < 3.14.4-1ubuntu0.2

    Mettez à jour vers 3.14.4-1ubuntu0.2

Sources originales

Vérifiez votre serveur →