一、为什么这条 CVE 值得单独拆

2025 年 6 月 CPython 一次性修了 tarfile 提取过滤器的五点缺陷，其中 CVE-2025-4517（CVSS 9.4）堵的是最直接的"任意文件写入"。一年之后又出了一条：CVE-2026-7774（CVSS 4.0 评分 6.9，CWE-22，2026-06-04 发布，报告者为 OPSWAT Un