Vulnerabilidad · Publicado 19/05/2026 · Actualizado 30/05/2026
La función shutil.unpack_archive() de Python no valida correctamente rutas absolutas de Windows al desempacar archivos ZIP, permitiendo que un atacante escriba archivos fuera del directorio de destino previsto. Esta vulnerabilidad afecta servidores y aplicaciones que procesan archivos comprimidos de usuarios no confiables, con riesgo de ejecución de código remoto (RCE) o escalada de privilegios en sistemas Windows en empresas de LATAM que utilizan Python en infraestructuras de procesamiento de datos.
Microsoft ha publicado una actualización de seguridad para abordar esta vulnerabilidad. Consulta el advisory oficial para detalles técnicos completos.
CVE-2026-3087 — NVD National Vulnerability Database
Advisory publicado por Microsoft Security Response Center (MSRC). Consulta el advisory completo para vectores de ataque, sistemas afectados y actualizaciones disponibles.