漏洞概述 CVE编号: CVE-2026-42496 CNA: CPAN Security Group 发布日期: 2026-05-26 标题: Archive::Tar versions before 3.08 for Perl extract symlinks with attacker controlled targets outside the extraction directory 描述: Archive::Tar versions before 3.08 for Perl 提取符号链接时，攻击者可以控制目标路径，导致符号链接指向提取目录外的路径。 函数在创建符号链接时未验证其目标路径是否为绝对路径或包含 段。 模式虽然检查了常规文件提取，但未覆盖符号链接目标。攻击者可以通过提取后的名称读取或写入任意路径。 影响范围 产品: Archive::Tar 受影响版本: 3.08 之前的版本 默认状态: 未受影响 受影响版本: 3.08 之前的版本 修复方案 修复版本: 3.08 参考链接: - GitHub Commit - Metacpan Release - CVE Record 相关 CWE CWE-59: CWE-59 Improper Link Resolution Before File Access (Link Following) 其他信息 JSON 视图: View JSON 用户指南: User Guide