CVE-Katalog

CVE-2026-114583

jython: CVE-2026-114583

Schweregrad: Medium · CVSS 6.9CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Published: Oct 22, 2026, 9:17:16 PM UTC
Source: [NVD] · [CVE record]

tarfile.tar_filter could be bypassed using crafted link entries, including symlinks with empty or directory-like names, to redirect later archive members outside the intended extraction directory. This allowed a malicious tar archive to cause tarfile.extractall() with filter="tar" to write files outside the destination directory, subject to the permissions of the extracting process. This is the tarfile.tar_filter counterpart of CVE-2026-7774, which covered tarfile.data_filter.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

Distribution	Package	Release	Version	Status
Debian	pypy3	sid	`8.0.1+dfsg-1`	vulnerable
Debian	pypy3	forky	`8.0.1+dfsg-1`	vulnerable
Debian	pypy3	trixie	`7.3.19+dfsg-2`	vulnerable
Debian	pypy3	bookworm	`7.3.11+dfsg-2+deb12u3`	vulnerable
Debian	jython	sid	`2.7.3+repack1-1`	vulnerable
Debian	jython	forky	`2.7.3+repack1-1`	vulnerable
Debian	jython	trixie	`2.7.3+repack1-1`	vulnerable
Debian	jython	bookworm	`2.7.3+repack1-1`	vulnerable
Debian	python3.11	bookworm	`3.11.2-6+deb12u8`	vulnerable
Debian	python3.11	bookworm-security	`3.11.2-6+deb12u9`	vulnerable

Fixed-version evidence

Distribution	Package	Type	Release	Fixed version	Urgency	Origin	Bugs
Debian	pypy3	source	sid	`(unfixed)`	not yet assigned	Not reported	Not reported
Debian	pypy3	source	forky	`(unfixed)`	not yet assigned	Not reported	Not reported
Debian	pypy3	source	trixie	`(unfixed)`	not yet assigned	Not reported	Not reported
Debian	pypy3	source	bookworm	`(unfixed)`	not yet assigned	Not reported	Not reported
Debian	jython	source	sid	`(unfixed)`	not yet assigned	Not reported	Not reported
Debian	jython	source	forky	`(unfixed)`	not yet assigned	Not reported	Not reported
Debian	jython	source	trixie	`(unfixed)`	not yet assigned	Not reported	Not reported
Debian	jython	source	bookworm	`(unfixed)`	not yet assigned	Not reported	Not reported
Debian	python3.11	source	bookworm	`(unfixed)`	not yet assigned	Not reported	Not reported

Notes

[trixie] pypy3: Minor issue

OpenFactory catalog packages

[Debian 12 (Bookworm)]

[idle-python3.11]Betroffen
Quellpaket: [python3.11]
Details (4)
- 3.11.2-6+deb12u8 · all · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u8 · all · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · all · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · all · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
[jython]Betroffen
Details (2)
- 2.7.3+repack1-1 · all · bookworm
  Betroffen
  dsa · jython · debian · bookworm
- 2.7.3+repack1-1 · all · bookworm
  Betroffen
  dsa · jython · debian · bookworm
[jython-doc]Betroffen
Quellpaket: [jython]
Details (2)
- 2.7.3+repack1-1 · all · bookworm
  Betroffen
  dsa · jython · debian · bookworm
- 2.7.3+repack1-1 · all · bookworm
  Betroffen
  dsa · jython · debian · bookworm
[libpython3.11]Betroffen
Quellpaket: [python3.11]
Details (4)
- 3.11.2-6+deb12u8 · amd64 · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u8 · arm64 · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · amd64 · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · arm64 · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
[libpython3.11-dbg]Betroffen
Quellpaket: [python3.11]
Details (4)
- 3.11.2-6+deb12u8 · amd64 · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u8 · arm64 · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · amd64 · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · arm64 · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
[libpython3.11-dev]Betroffen
Quellpaket: [python3.11]
Details (4)
- 3.11.2-6+deb12u8 · amd64 · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u8 · arm64 · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · amd64 · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · arm64 · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
[libpython3.11-minimal]Betroffen
Quellpaket: [python3.11]
Details (4)
- 3.11.2-6+deb12u8 · amd64 · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u8 · arm64 · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · amd64 · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · arm64 · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
[libpython3.11-stdlib]Betroffen
Quellpaket: [python3.11]
Details (4)
- 3.11.2-6+deb12u8 · amd64 · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u8 · arm64 · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · amd64 · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · arm64 · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
[libpython3.11-testsuite]Betroffen
Quellpaket: [python3.11]
Details (4)
- 3.11.2-6+deb12u8 · all · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u8 · all · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · all · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · all · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
[pypy3]Betroffen
Details (2)
- 7.3.11+dfsg-2+deb12u3 · amd64 · bookworm
  Betroffen
  dsa · pypy3 · debian · bookworm
- 7.3.11+dfsg-2+deb12u3 · arm64 · bookworm
  Betroffen
  dsa · pypy3 · debian · bookworm
[pypy3-dev]Betroffen
Quellpaket: [pypy3]
Details (2)
- 7.3.11+dfsg-2+deb12u3 · all · bookworm
  Betroffen
  dsa · pypy3 · debian · bookworm
- 7.3.11+dfsg-2+deb12u3 · all · bookworm
  Betroffen
  dsa · pypy3 · debian · bookworm
[pypy3-doc]Betroffen
Quellpaket: [pypy3]
Details (2)
- 7.3.11+dfsg-2+deb12u3 · all · bookworm
  Betroffen
  dsa · pypy3 · debian · bookworm
- 7.3.11+dfsg-2+deb12u3 · all · bookworm
  Betroffen
  dsa · pypy3 · debian · bookworm
[pypy3-lib]Betroffen
Quellpaket: [pypy3]
Details (2)
- 7.3.11+dfsg-2+deb12u3 · amd64 · bookworm
  Betroffen
  dsa · pypy3 · debian · bookworm
- 7.3.11+dfsg-2+deb12u3 · arm64 · bookworm
  Betroffen
  dsa · pypy3 · debian · bookworm
[pypy3-lib-testsuite]Betroffen
Quellpaket: [pypy3]
Details (2)
- 7.3.11+dfsg-2+deb12u3 · all · bookworm
  Betroffen
  dsa · pypy3 · debian · bookworm
- 7.3.11+dfsg-2+deb12u3 · all · bookworm
  Betroffen
  dsa · pypy3 · debian · bookworm
[pypy3-tk]Betroffen
Quellpaket: [pypy3]
Details (2)
- 7.3.11+dfsg-2+deb12u3 · amd64 · bookworm
  Betroffen
  dsa · pypy3 · debian · bookworm
- 7.3.11+dfsg-2+deb12u3 · arm64 · bookworm
  Betroffen
  dsa · pypy3 · debian · bookworm
[pypy3-venv]Betroffen
Quellpaket: [pypy3]
Details (2)
- 7.3.11+dfsg-2+deb12u3 · all · bookworm
  Betroffen
  dsa · pypy3 · debian · bookworm
- 7.3.11+dfsg-2+deb12u3 · all · bookworm
  Betroffen
  dsa · pypy3 · debian · bookworm
[python3.11]Betroffen
Details (4)
- 3.11.2-6+deb12u8 · amd64 · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u8 · arm64 · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · amd64 · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · arm64 · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
[python3.11-dbg]Betroffen
Quellpaket: [python3.11]
Details (4)
- 3.11.2-6+deb12u8 · amd64 · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u8 · arm64 · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · amd64 · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · arm64 · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
[python3.11-dev]Betroffen
Quellpaket: [python3.11]
Details (4)
- 3.11.2-6+deb12u8 · amd64 · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u8 · arm64 · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · amd64 · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · arm64 · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
[python3.11-doc]Betroffen
Quellpaket: [python3.11]
Details (4)
- 3.11.2-6+deb12u8 · all · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u8 · all · bookworm
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · all · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm
- 3.11.2-6+deb12u3 · all · bookworm-security
  Betroffen
  dsa · python3.11 · debian · bookworm

Weitere Ergebnisse

Beobachtet: Oct 23, 2026, 7:25:19 PM UTC

Referenzen

[Debian Security Tracker] · [National Vulnerability Database (NVD)]