CVE-2023-5752
NiskieStreszczenie
Podatność w pip przed wersją 23.3 pozwala na wstrzyknięcie dowolnych opcji konfiguracyjnych do wywołania 'hg clone' podczas instalacji pakietu z adresu URL Mercurial (hg+...). Atakujący może kontrolować konfigurację Mercuriala, modyfikując sposób i zakres klonowania repozytorium.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu lub modyfikacji procesu instalacji pakietu, co może prowadzić do naruszenia integralności systemu lub kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować pip do wersji 23.3 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
When installing a package from a Mercurial VCS URL (ie "pip install hg+...") with pip prior to v23.3, the specified Mercurial revision could be used to inject arbitrary configuration options to the "hg clone" call (ie "--config"). Controlling the Mercurial configuration can modify how and which