CVE-2019-20916
WysokieStreszczenie
Podatność w pakiecie pip dla języka Python przed wersją 19.2 umożliwia przemieszczanie się po katalogach (directory traversal) podczas instalacji z podanego URL. Atakujący może wykorzystać nagłówek Content-Disposition zawierający '../' w nazwie pliku, co pozwala na nadpisanie plików, np. /root/.ssh/authorized_keys.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego nadpisania krytycznych plików systemowych, takich jak klucze SSH, co może prowadzić do nieautoryzowanego dostępu do serwera i eskalacji uprawnień.
Rekomendacja
Należy natychmiast zaktualizować pip do wersji 19.2 lub nowszej. W przypadku braku możliwości aktualizacji, unikać instalowania pakietów z niezaufanych URL-i.
Inne podatności w pip
Zobacz wszystkie- CVE-2023-5752Niskie
Podatność w pip przed wersją 23.3 pozwala na wstrzyknięcie dowolnych opcji konfiguracyjnych do wywołania 'hg clone' podczas instalacji pakietu z adresu URL Mercurial (hg+...). Atakujący może kontrolować konfigurację Mercuriala, modyfikując sposób i zakres klonowania repozytorium.
- CVE-2026-13346Średnie
pip nieprawidłowo obsługuje podwójnie zakodowane adresy URL pakietów z indeksów, co pozwala na instalację plików w dowolnych lokalizacjach na dysku podczas instalowania wheeli. Luka wymaga pobrania lub zainstalowania pakietu ze złośliwego indeksu; same złośliwe pakiety nie wystarczą do jej wykorzystania.
- CVE-2026-8643Średnie
W narzędziu pip, wpisy console_scripts i gui_scripts były traktowane jako ścieżki zamiast nazw plików, bez sanityzacji rozpoznanej absolutnej ścieżki do katalogu instalacji. Prowadziło to do instalowania punktów wejścia poza katalogiem instalacyjnym.
Oryginalny opis (angielski, źródło NVD)
The pip package before 19.2 for Python allows Directory Traversal when a URL is given in an install command, because a Content-Disposition header can have ../ in a filename, as demonstrated by overwriting the /root/.ssh/authorized_keys file. This occurs in _download_http_url in _internal/download.py