PEAR Archive_Tar 1.4.3版及更早版本在Archive_Tar类中包含CWE-502，CWE-915漏洞。有几个文件操作，`$ v_header ['filename']`作为参数(例如file_exists，is_file，is_dir等)。当调用extract而没有特定的前缀路径时，我们可以通过使用`phar：// [path_to_malicious_phar_file]`作为路径来制作tar文件来触发反序列化。对象注入可用于在加载的PHP类中触发析构，例如， Archive_Tar类本身。使用Archive_Tar对象注入时，可能会发生任意文件删除，因为调用了`@unlink($ this - > _ temp_tarname)`。如果加载了另一个包含有用小工具的类，则可能导致远程代码执行，从而导致文件被删除或可能被修改。此漏洞似乎已在1.4.4中修复。