Vulnerabilidad en jaraco.context (CVE-2026-23949)

jaraco.context, un paquete de software de código abierto que proporciona algunos decoradores y gestores de contexto útiles, tiene una vulnerabilidad de recorrido de ruta Zip Slip en la función `jaraco.context.tarball()` a partir de la versión 5.2.0 y anterior a la versión 6.1.0. La vulnerabilidad puede permitir a los atacantes extraer archivos fuera del directorio de extracción previsto cuando se procesan archivos tar maliciosos. El filtro strip_first_component divide la ruta en la primera barra «/» y extrae el segundo componente, al tiempo que permite secuencias «../». Las rutas como «dummy_dir/../../etc /passwd» se convierten en «../../etc /passwd». Tenga en cuenta que esto también sufre un ataque de archivo tar anidado con archivos tar de varios niveles, como `dummy_dir/inner.tar.gz`, donde inner.tar.gz incluye un recorrido `dummy_dir/../../config/.env` que también se traduce a `../../config/.env`. La versión 6.1.0 contiene un parche para el problema.