路径穿越 on 办公AI智能小助手 https://blog.qife122.com/tags/%E8%B7%AF%E5%BE%84%E7%A9%BF%E8%B6%8A/ Recent content in 路径穿越 on 办公AI智能小助手 Hugo zh-cn qife Tue, 30 Dec 2025 16:50:08 +0800 路径穿越漏洞剖析：Archive库中的Zip文件解压风险(CVE-2023-39139) https://blog.qife122.com/p/%E8%B7%AF%E5%BE%84%E7%A9%BF%E8%B6%8A%E6%BC%8F%E6%B4%9E%E5%89%96%E6%9E%90archive%E5%BA%93%E4%B8%AD%E7%9A%84zip%E6%96%87%E4%BB%B6%E8%A7%A3%E5%8E%8B%E9%A3%8E%E9%99%A9cve-2023-39139/ Tue, 30 Dec 2025 16:50:08 +0800 https://blog.qife122.com/p/%E8%B7%AF%E5%BE%84%E7%A9%BF%E8%B6%8A%E6%BC%8F%E6%B4%9E%E5%89%96%E6%9E%90archive%E5%BA%93%E4%B8%AD%E7%9A%84zip%E6%96%87%E4%BB%B6%E8%A7%A3%E5%8E%8B%E9%A3%8E%E9%99%A9cve-2023-39139/ <h1 id="路径遍历漏洞archive库中的安全问题">路径遍历漏洞：Archive库中的安全问题</h1> <h2 id="漏洞概述">漏洞概述</h2> <p><strong>CVE-2023-39139</strong>是一个影响Archive库v3.3.7及更早版本的高危安全漏洞。该漏洞允许攻击者通过特制的zip文件执行路径遍历攻击。</p> Keras路径穿越漏洞详解：CVE-2025-12638的技术分析与修复方案 https://blog.qife122.com/p/keras%E8%B7%AF%E5%BE%84%E7%A9%BF%E8%B6%8A%E6%BC%8F%E6%B4%9E%E8%AF%A6%E8%A7%A3cve-2025-12638%E7%9A%84%E6%8A%80%E6%9C%AF%E5%88%86%E6%9E%90%E4%B8%8E%E4%BF%AE%E5%A4%8D%E6%96%B9%E6%A1%88/ Wed, 10 Dec 2025 09:18:38 +0800 https://blog.qife122.com/p/keras%E8%B7%AF%E5%BE%84%E7%A9%BF%E8%B6%8A%E6%BC%8F%E6%B4%9E%E8%AF%A6%E8%A7%A3cve-2025-12638%E7%9A%84%E6%8A%80%E6%9C%AF%E5%88%86%E6%9E%90%E4%B8%8E%E4%BF%AE%E5%A4%8D%E6%96%B9%E6%A1%88/ <h1 id="cve-2025-12638---keras团队keras中通过tar归档提取在kerasutilsget_file中的路径穿越漏洞">CVE-2025-12638 - Keras团队/keras中通过tar归档提取在keras.utils.get_file()中的路径穿越漏洞</h1> <h2 id="概述">概述</h2> <p>CVE-2025-12638是Keras深度学习框架中的一个安全漏洞，CVSS 3.0评分为8.0（高危级别）。</p> Astral-tokio-tar 与 uv 中的任意文件写入路径穿越漏洞剖析 https://blog.qife122.com/p/astral-tokio-tar-%E4%B8%8E-uv-%E4%B8%AD%E7%9A%84%E4%BB%BB%E6%84%8F%E6%96%87%E4%BB%B6%E5%86%99%E5%85%A5%E8%B7%AF%E5%BE%84%E7%A9%BF%E8%B6%8A%E6%BC%8F%E6%B4%9E%E5%89%96%E6%9E%90/ Mon, 08 Dec 2025 17:10:36 +0800 https://blog.qife122.com/p/astral-tokio-tar-%E4%B8%8E-uv-%E4%B8%AD%E7%9A%84%E4%BB%BB%E6%84%8F%E6%96%87%E4%BB%B6%E5%86%99%E5%85%A5%E8%B7%AF%E5%BE%84%E7%A9%BF%E8%B6%8A%E6%BC%8F%E6%B4%9E%E5%89%96%E6%9E%90/ <h3 id="漏洞概述">漏洞概述</h3> <p>&ldquo;astral-tokio-tar&rdquo; 是一个 Rust 库，被流行的 Python 工具 &ldquo;uv&rdquo; 所使用。该库在处理 tar 文件解包时存在一个漏洞，可能导致任意文件写入。具体到 &ldquo;uv&rdquo; 的场景中，此漏洞允许恶意的 Python 源码发行版在解压过程中将文件写入任意位置。</p>