pyLoad : extraction d’entrées TAR spéciales non filtrées

Veille sécuritéBackend & données

P3Critique

Dans pyLoad avant 0.5.0b3.dev102, l’extraction de certains types spéciaux d’entrées TAR n’était pas bloquée; des utilisateurs ayant les permissions ADD et STATUS pouvaient ainsi provoquer l’extraction d’archives conçues à cet effet. Mettre pyLoad à jour vers la version 0.5.0b3.dev102 ou ultérieure; la source signale un risque accru lorsque pyLoad s’exécute avec des privilèges élevés, notamment dans le déploiement Docker officiel.

IdentifiantCVE-2026-123815

GravitéCritique

Exploitationnon connue / non déterminée

Correctif0.5.0b3.dev102

Source : NVD — CVE-2026-123815

Analyse technique

Le contrôle des chemins et des cibles de liens ne rejetait pas les membres spéciaux avant tarfile.extractall. La source indique que Python 3.14 adopte par défaut un filtre d’extraction sûr; cela ne remplace pas la mise à jour de pyLoad.

Impact, versions et correctif

Événement datéLa publication NVD indiquée à 2026-11-09T22:18:37.943Z correspond au 2026-11-10 à 00:18:37.943+02:00, dans la période retenue.

ImpactSelon les privilèges du processus, l’extraction peut exposer des périphériques ou compromettre l’hôte; des FIFO peuvent aussi provoquer des blocages.

Versions affectéespyLoad antérieur à 0.5.0b3.dev102; comportement Python décrit pour les versions 3.9 à 3.13

Version corrigée0.5.0b3.dev102

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.4

EPSS0,37% · percentile 31,4%

Publication2026-11-09T22:18:37.943Z

Mise à jour2026-11-09T22:18:38.067Z

Action recommandée

Mettre pyLoad à jour vers la version 0.5.0b3.dev102 ou ultérieure et éviter de l’exécuter avec des privilèges élevés.

Sources

NVD — CVE-2026-123815

Priorisation DFS : P3 · 1 source(s).