p PatchFirst

CVE-2026-50558

CVE-2026-50558 · Penelope unsafe tar extraction allows arbitrary local file write via crafted session archive

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Penelope Shell Handler is a post-exploitation shell handler for authorized security testing. Prior to 0.20.0, the Unix download() implementation in penelope.py used tar.extractall(local_download_folder) on tar archives returned by remote sessions without validating member paths, allowing a malicious or compromised session to write files outside the intended download directory and potentially overwrite ~/.penelope/peneloperc. This issue is fixed in version 0.20.0.

CVSS 5.9 · Moyenne · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • penelope

    Versions du logiciel
    • < 0.20.0: Concernée

    Aucun correctif publié

  • penelope-shell-handler PyPI

    Versions du logiciel
    • 0.15.0
    • 0.18.0
    • 0.19.1
    Plages de versions concernées
    • ECOSYSTEM: < 0.20.0

    Mettez à jour vers 0.20.0

Sources originales

Vérifiez votre serveur →