anonhaven
Ad

CVE-2026-106057

HIGH CVSS 4.0: 8,5 EPSS 0.76%
Обновлено 7 октября 2026
Wummel
Параметр Значение
CVSS 8,5 (HIGH)
Уязвимые версии до 4.0.6
Тип уязвимости CWE-78 (Внедрение команд ОС)
Поставщик Wummel
Публичный эксплойт Нет

patool before 4.0.6 contains an OS command injection vulnerability on Windows because shell_quote_nt fails to escape cmd.exe metacharacters or embedded double quotes in archive filenames. Attackers can supply crafted filenames like report&calc.gz for single-file formats run with shell=True to execute commands with patool process privileges.

Характеристики атаки

Способ атаки
Локальный
Нужен локальный доступ
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Пассивное
Минимальное взаимодействие

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании

Строка CVSS v4.0

Тип уязвимости (CWE)

CWE-78 OS Command Injection (Внедрение команд ОС)

Уязвимые продукты

wummel:patool

Ссылки 4

https://github.com/wummel/patool/commit/592f35761f428afbcde2888ecd3cc4af43881aeb
Patch Commit
https://github.com/wummel/patool
NVD
https://github.com/wummel/patool/blob/4.0.5/patoolib/util.py#L110-L116
NVD
https://www.vulncheck.com/advisories/patool-before-4.0.6-os-command-injection-o…
VulnCheck Advisory: patool before 4.0.6 OS Command Injection on Windows via shell_quote_nt
Share Post Share Share Share