CVE-2025-13327
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W narzędziu uv wykryto lukę umożliwiającą wykonanie złośliwego kodu podczas rozwiązywania lub instalacji pakietów za pomocą specjalnie spreparowanych archiwów ZIP wykorzystujących różnice w parsowaniu; wymaga to interakcji użytkownika przy instalacji pakietu kontrolowanego przez atakującego.
Ocena ryzyka
Jeśli użytkownik zainstaluje spreparowany pakiet, atakujący może wykonać złośliwy kod w jego środowisku, co może prowadzić do kompromitacji stacji roboczej lub procesu budowania.
Rekomendacja
Należy zaktualizować uv do wersji z poprawką oraz unikać instalowania pakietów z niezaufanych źródeł.
Inne podatności w uv
Zobacz wszystkie- CVE-2026-114110Średnie
W narzędziu Astral uv przed wersją 0.11.6 występuje podatność path traversal umożliwiająca usunięcie dowolnych plików poprzez dostarczenie wheeli z względnymi ścieżkami traversal w wpisach RECORD. Złośliwy wheel może odwoływać się do plików poza prefiksem instalacji.
- CVE-2026-114109Wysokie
uv przed wersją 0.11.15 zawiera podatność na przejście ścieżki, która pozwala złośliwym pakietom wheel zapisywać pliki poza katalogiem skryptów poprzez spreparowane nazwy punktów wejścia console_scripts lub gui_scripts. Atakujący, którzy nakłonią użytkowników do instalacji złośliwego pakietu wheel, mogą umieścić pliki wykonywalne w katalogach PATH, przesłaniając lub nadpisując istniejące binaria w celu wykonania kodu.
- CVE-2026-104843Średnie
uv (menedżer projektów i pakietów w Pythonie) od wersji 0.12.7 do 0.12.18 ma podatność na Windows, która pozwala na zapis pliku poza katalogiem instalacji podczas ekstrakcji złośliwego wheel. Może to umożliwić umieszczenie pliku wykonywalnego w katalogu na PATH użytkownika.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in uv. This vulnerability allows an attacker to execute malicious code during package resolution or installation via specially crafted ZIP (Zipped Information Package) archives that exploit parsing differentials, requiring user interaction to install an attacker-controlled package.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS