15年前未修补Python漏洞或影响35万+项目

超过350000个开源项目可能会受到15年前发现的未修补Python漏洞的影响，该漏洞编号为CVE-2007-4559 （CVSS 评分：6.8）。

该漏洞是一个目录遍历漏洞，它存在于Python的tarfile模块中的“extract”和“extractall”函数中。用户辅助的远程攻击者可以触发问题，通过 TAR 存档中文件名中的 ..（点点）序列覆盖任意文件，这是与 CVE-2001-1267 相关的问题。专家指出，这个漏洞被低估了，它最初的 CVSS 分数为 6.8，然而在大多数情况下，攻击者利用此问题从文件写入中获取代码执行。攻击者还可以通过上传特制的tar文件来利用该漏洞，该tar文件允许转义，文件提取到的目录并实现代码执行。[阅读原文]