PT-2026-35528 · Python · Cpython

Ggautomaton + 2 · Publicado 2026-04-27 · Atualizado 2026-06-05 · CVE-2026-3087

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas CPython (versões afetadas não especificadas)

Descrição No Windows, a função shutil.unpack archive() não verifica adequadamente caminhos absolutos em arquivos ZIP. Se um arquivo contiver um caminho com uma letra de unidade (ex: C:), os arquivos podem ser extraídos fora do diretório de destino pretendido.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BIT-LIBPYTHON-2026-3087

BIT-PYTHON-2026-3087

BIT-PYTHON-MIN-2026-3087

CVE-2026-3087

PSF-2026-22

Produtos afetados

Cpython

Referências · 24

• https://github.com/python/cpython/commit/65b255416ae217bf0e22085be3c1976cea18bd8c · Correção
• https://github.com/python/cpython/commit/8ee6aff14054b37b53e47194a2fa313e98163c94 · Correção
• https://github.com/python/cpython/commit/8e13025747e1ca72e86d1f35637123f9c306f0cb · Correção
• https://github.com/python/cpython/commit/ba0aca3bffce431fe2fbd53ca4cd6a717a2e2c19 · Correção
• https://github.com/python/cpython/commit/b01e594fbe754a960212f908d047294e880b52fd · Correção
• https://github.com/python/cpython/commit/ab5ef98af693bded74a738570e81ea70abef2840 · Correção
• https://github.com/python/cpython/commit/fc829e88753858c8ac669594bf0093f44948c0f4 · Correção
• https://github.com/python/cpython/issues/146581 · Aviso do Fabricante
• https://github.com/python/cpython/pull/146591 · Correção
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-3087 · Aviso do Fabricante
• https://t.me/cveNotify/166103 · Publicação no Telegram
• https://mail.python.org/archives/list/[e-mail]/thread/X6FXE5C6KDKOVNX3EC3DWD5RUPFWOZA4 · Aviso do Fabricante
• https://t.me/CVEtracker/51994 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-python-2026-3087 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-3087 · Nota de Segurança