PT-2026-3523 · Unknown+1 · Jaraco.Context+1

Tsigouris007 · Publicado 2026-01-13 · Atualizado 2026-06-03 · CVE-2026-23949

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do jaraco.context anteriores à 6.1.0

Descrição O jaraco.context, um pacote de software que fornece decoradores e gerenciadores de contexto, contém um problema de travessia de caminho na função jaraco.context.tarball(). O problema permite que atacantes extraiam arquivos fora do diretório pretendido ao processar arquivos tar maliciosos. A vulnerabilidade surge porque o filtro strip first component lida incorretamente com sequências ../ dentro dos caminhos, permitindo ataques de travessia. Isso também é suscetível a ataques de tarball aninhada envolvendo arquivos tar de múltiplos níveis. A função tarball() é vulnerável.

Recomendações Atualize o jaraco.context para a versão 6.1.0 ou posterior.

Exploit

Correção

DoS

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BDU:2026-03594

CVE-2026-23949

ECHO-4DEA-2475-6D75

GHSA-58PV-8J8X-9VJ2

OPENSUSE-SU-2026:10077-1

OPENSUSE-SU-2026:20095-1

SUSE-SU-2026:20139-1

USN-7979-1

Produtos afetados

Red Os

Jaraco.Context

Referências · 37

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/23xxx/CVE-2026-23949.json · Exploit
• https://github.com/pypa/setuptools/blob/main/setuptools/_vendor/jaraco/context.py#L55-L76 · Correção
• https://github.com/jaraco/jaraco.context/commit/7b26a42b525735e4085d2e994e13802ea339d5f9 · Correção
• https://github.com/jaraco/jaraco.context/security/advisories/GHSA-58pv-8j8x-9vj2 · Aviso do Fabricante
• https://github.com/jaraco/jaraco.context · Nota
• https://github.com/jaraco/jaraco.context/blob/main/jaraco/context/__init__.py#L74-L91 · Correção
• https://ubuntu.com/security/CVE-2026-23949 · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/uyazvimost-python-jaraco-context-cve-2026-23949-7.3 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-23949 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-23949 · Aviso do Fabricante
• https://osv.dev/vulnerability/ROOT-OS-DEBIAN-13-CVE-2026-23949 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-23949 · Aviso do Fabricante
• https://redos.red-soft.ru/search/?iblock_id=24&q=CVE-2026-23949 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-23949 · Nota de Segurança
• https://osv.dev/vulnerability/openSUSE-SU-2026:10077-1 · Aviso do Fabricante