Cyber ·
CPython CVE-2026-114583: desvio de proteção contra path traversal em tarfile.tar_filter
Aviso de segurança do CPython sobre falha que permite contornar a proteção contra path traversal em tarfile.tar_filter e gravar arquivos fora do diretório de extração.
Em 22 de outubro de 2026, o feed oss-sec publicou uma tradução automática de um aviso de segurança do CPython, o interpretador de Python. O aviso, identificado como CVE-2026-114583, descreve um desvio da proteção contra path traversal no filtro tarfile.tar_filter. Segundo o texto, a falha permite gravar arquivos fora do diretório de extração. O aviso original foi encaminhado pela lista Security-announce do Python, com autoria de Stan Ulbrych, e a publicação no feed é de Alan Coopersmith.
O texto recebido está truncado. Ele não informa versões afetadas, versão corrigida nem detalhes técnicos adicionais, e este boletim não os inventa. Para verificar esses pontos, consulte o aviso original na lista oficial de segurança do Python, pelo nome da CVE, e compare com a documentação da versão do seu ambiente.
A relevância para organizações brasileiras está em fluxos que extraem arquivos recebidos de terceiros, como anexos, lotes de documentos ou pacotes enviados por parceiros. Nesses casos, a extração pode ser um ponto de entrada. A Rota Nacional não corrige nem trata essa vulnerabilidade. Se o seu fluxo usa tarfile, atualize o Python conforme o aviso oficial e trate arquivos não confiáveis em ambiente isolado.