阿里先知·· 4 天前精选推荐指数73
CVE-2026-114583：CPython tarfile 空名符号链接绕过解包目录
AI 导读
CVE-2026-114583 打穿 CPython tarfile 的解包过滤器：归档中一条名字为空串的符号链接会把解包目标目录本身替换成指向外部的链接，随后的普通文件成员随之写到目录之外覆盖外部同名文件，extractall() 全程无异常返回。
推荐理由
文章用十个版本四档过滤器的实测矩阵，把补丁存在与补丁生效之间的落差讲清楚了，可迁移的判断方法是按版本加过滤器二维坐标核对。
来源：阿里先知 · xz.aliyun.com