CVE-2026-114109
WysokieCVSS 8.8Streszczenie
uv przed wersją 0.11.15 zawiera podatność na przejście ścieżki, która pozwala złośliwym pakietom wheel zapisywać pliki poza katalogiem skryptów poprzez spreparowane nazwy punktów wejścia console_scripts lub gui_scripts. Atakujący, którzy nakłonią użytkowników do instalacji złośliwego pakietu wheel, mogą umieścić pliki wykonywalne w katalogach PATH, przesłaniając lub nadpisując istniejące binaria w celu wykonania kodu.
Ocena ryzyka
Zainstalowanie złośliwego pakietu wheel może doprowadzić do nadpisania zaufanych binariów i wykonania kodu w kontekście użytkownika lub systemu.
Rekomendacja
Zaktualizuj uv do wersji 0.11.15 lub nowszej oraz instaluj pakiety wyłącznie z zaufanych źródeł.
Inne podatności w uv
Zobacz wszystkie- CVE-2026-114110Średnie
W narzędziu Astral uv przed wersją 0.11.6 występuje podatność path traversal umożliwiająca usunięcie dowolnych plików poprzez dostarczenie wheeli z względnymi ścieżkami traversal w wpisach RECORD. Złośliwy wheel może odwoływać się do plików poza prefiksem instalacji.
- CVE-2026-104843Średnie
uv (menedżer projektów i pakietów w Pythonie) od wersji 0.12.7 do 0.12.18 ma podatność na Windows, która pozwala na zapis pliku poza katalogiem instalacji podczas ekstrakcji złośliwego wheel. Może to umożliwić umieszczenie pliku wykonywalnego w katalogu na PATH użytkownika.
Oryginalny opis (angielski, źródło NVD)
uv before 0.11.15 contains a path traversal vulnerability that allows malicious wheels to write files outside the scripts directory via crafted console_scripts or gui_scripts entry point names. Attackers who induce users to install a malicious wheel can place executables in PATH directories, shadowing or overwriting existing binaries for code execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS