Python < 3.11.18 / 3.12.x < 3.12.16 / 3.13.x < 3.13.18 / 3.14.x < 3.14.10 / 3.15.x < 3.15.2 / 3.16.x < 3.16.0 多個漏洞

critical Nessus Plugin ID 373609

語言:

概要

遠端主機安裝的應用程式受到多個弱點影響。

說明

遠端 Windows 主機上安裝的 Python 版本在 3.11.18之前或 3.12.x3.12.16之前或3.13.183.13.x之前或之前或3.14.x3.14.10之前或3.15.23.15.x之前或之前。3.16.x3.16.0 因此，會受到多個弱點影響：

- 可以使用特製的連結項目（包括具有空名稱或類似目錄的符號連結）來繞過 tarfile.tar_filter，以將稍後的封存成員重新導向到預期的擷取目錄之外。這允許惡意 tar 封存導致帶有「tar」篩選器的 tarfile.extractall（）在目標目錄之外寫入檔案，但須遵守擷取程序的權限。（CVE-2026-114583）

- Python 已將已知受損憑證的拒絕清單新增至「ssl」模組，以確保即使未設定憑證撤銷，也能確保使用者安全。無論 SSLContext 原則設定為何，已知的已入侵憑證都會被自動拒絕。（CVE-2026-115557）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。