CVE catalog

CVE-2026-87910

Severity: Medium · CVSS 6.5CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
Published: Sep 11, 2026, 5:27:04 PM UTC
Updated: Sep 11, 2026, 6:16:59 PM UTC
Source: [NVD] · [CVE record]
EPSS: 0.50% · Oct 23, 2026

When tarfile extracts a link on a system that doesn't support links, it falls back to extracting a member from the archive. In this case, the filter function is run twice: once for the extracted member, and once with name set to the location of the link. For one of the calls, the return value was ignored. Instead, the member should be skipped if either call returns None.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

Distribution	Package	Release	Version	Status
Debian	pypy3	sid	`8.0.1+dfsg-1`	vulnerable
Debian	pypy3	forky	`8.0.1+dfsg-1`	vulnerable
Debian	pypy3	trixie	`7.3.19+dfsg-2`	vulnerable
Debian	pypy3	bookworm	`7.3.11+dfsg-2+deb12u3`	not affected
Debian	python3.11	bookworm	`3.11.2-6+deb12u8`	not affected
Debian	python3.11	bookworm-security	`3.11.2-6+deb12u9`	not affected
Alpine	python3	3.21	`3.12.15-r0`	fixed
Alpine	python3	3.22	`3.12.15-r0`	fixed
Alpine	python3	3.23	`3.12.15-r0`	fixed

Fixed-version evidence

Distribution	Package	Type	Release	Fixed version	Urgency	Origin	Bugs
Debian	pypy3	source	sid	`(unfixed)`	not yet assigned	Not reported	Not reported
Debian	pypy3	source	forky	`(unfixed)`	not yet assigned	Not reported	Not reported
Debian	pypy3	source	trixie	`(unfixed)`	not yet assigned	Not reported	Not reported
Debian	pypy3	source	bookworm	`Not affected`	unimportant	Not reported	Not reported
Debian	python3.11	source	bookworm	`Not affected`	unimportant	Not reported	Not reported
Alpine	python3	apk	3.21	`3.12.15-r0`	Not reported	ALPINE-CVE-2026-87910	Not reported
Alpine	python3	apk	3.22	`3.12.15-r0`	Not reported	ALPINE-CVE-2026-87910	Not reported
Alpine	python3	apk	3.23	`3.12.15-r0`	Not reported	ALPINE-CVE-2026-87910	Not reported

Notes

[trixie] pypy3: Minor issue

OpenFactory catalog packages

[Debian 13 (Trixie)]

[idle-python3.13]Affected
Source package: [python3.13]
Details (4)
- 3.13.5-2+deb13u3 · all · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u3 · all · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · all · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · all · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
[libpython3.13]Affected
Source package: [python3.13]
Details (4)
- 3.13.5-2+deb13u3 · amd64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u3 · arm64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · amd64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · arm64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
[libpython3.13-dbg]Affected
Source package: [python3.13]
Details (4)
- 3.13.5-2+deb13u3 · amd64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u3 · arm64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · amd64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · arm64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
[libpython3.13-dev]Affected
Source package: [python3.13]
Details (4)
- 3.13.5-2+deb13u3 · amd64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u3 · arm64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · amd64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · arm64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
[libpython3.13-minimal]Affected
Source package: [python3.13]
Details (4)
- 3.13.5-2+deb13u3 · amd64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u3 · arm64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · amd64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · arm64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
[libpython3.13-stdlib]Affected
Source package: [python3.13]
Details (4)
- 3.13.5-2+deb13u3 · amd64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u3 · arm64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · amd64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · arm64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
[libpython3.13-testsuite]Affected
Source package: [python3.13]
Details (4)
- 3.13.5-2+deb13u3 · all · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u3 · all · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · all · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · all · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
[pypy3]Affected
Details (2)
- 7.3.19+dfsg-2 · amd64 · trixie
  Affected
  nvd · pypy3 · debian · 13
- 7.3.19+dfsg-2 · arm64 · trixie
  Affected
  nvd · pypy3 · debian · 13
[pypy3-dev]Affected
Source package: [pypy3]
Details (2)
- 7.3.19+dfsg-2 · all · trixie
  Affected
  nvd · pypy3 · debian · 13
- 7.3.19+dfsg-2 · all · trixie
  Affected
  nvd · pypy3 · debian · 13
[pypy3-doc]Affected
Source package: [pypy3]
Details (2)
- 7.3.19+dfsg-2 · all · trixie
  Affected
  nvd · pypy3 · debian · 13
- 7.3.19+dfsg-2 · all · trixie
  Affected
  nvd · pypy3 · debian · 13
[pypy3-lib]Affected
Source package: [pypy3]
Details (2)
- 7.3.19+dfsg-2 · amd64 · trixie
  Affected
  nvd · pypy3 · debian · 13
- 7.3.19+dfsg-2 · arm64 · trixie
  Affected
  nvd · pypy3 · debian · 13
[pypy3-lib-testsuite]Affected
Source package: [pypy3]
Details (2)
- 7.3.19+dfsg-2 · all · trixie
  Affected
  nvd · pypy3 · debian · 13
- 7.3.19+dfsg-2 · all · trixie
  Affected
  nvd · pypy3 · debian · 13
[pypy3-tk]Affected
Source package: [pypy3]
Details (2)
- 7.3.19+dfsg-2 · amd64 · trixie
  Affected
  nvd · pypy3 · debian · 13
- 7.3.19+dfsg-2 · arm64 · trixie
  Affected
  nvd · pypy3 · debian · 13
[pypy3-venv]Affected
Source package: [pypy3]
Details (2)
- 7.3.19+dfsg-2 · all · trixie
  Affected
  nvd · pypy3 · debian · 13
- 7.3.19+dfsg-2 · all · trixie
  Affected
  nvd · pypy3 · debian · 13
[python3.13]Affected
Details (4)
- 3.13.5-2+deb13u3 · amd64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u3 · arm64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · amd64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · arm64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
[python3.13-dbg]Affected
Source package: [python3.13]
Details (4)
- 3.13.5-2+deb13u3 · amd64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u3 · arm64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · amd64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · arm64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
[python3.13-dev]Affected
Source package: [python3.13]
Details (4)
- 3.13.5-2+deb13u3 · amd64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u3 · arm64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · amd64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · arm64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
[python3.13-doc]Affected
Source package: [python3.13]
Details (4)
- 3.13.5-2+deb13u3 · all · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u3 · all · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · all · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · all · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
[python3.13-examples]Affected
Source package: [python3.13]
Details (4)
- 3.13.5-2+deb13u3 · all · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u3 · all · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · all · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · all · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
[python3.13-full]Affected
Source package: [python3.13]
Details (4)
- 3.13.5-2+deb13u3 · amd64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u3 · arm64 · trixie
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · amd64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13
- 3.13.5-2+deb13u4 · arm64 · trixie-updates
  Affected
  nvd · python3.13 · debian · 13

Next results

Observed: Oct 24, 2026, 9:56:06 PM UTC

References

[CERT-Bund public advisories] · [Debian Security Tracker] · [FIRST EPSS] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database] · [Red Hat security advisories and VEX] · [SUSE security advisories and VEX]