CVE-2026-114110
ŚrednieCVSS 5.3Streszczenie
W narzędziu Astral uv przed wersją 0.11.6 występuje podatność path traversal umożliwiająca usunięcie dowolnych plików poprzez dostarczenie wheeli z względnymi ścieżkami traversal w wpisach RECORD. Złośliwy wheel może odwoływać się do plików poza prefiksem instalacji.
Ocena ryzyka
Atakujący może spowodować usunięcie plików poza katalogiem instalacji podczas odinstalowywania pakietu przez użytkownika, co może prowadzić do utraty danych lub destabilizacji systemu.
Rekomendacja
Zaktualizuj uv do wersji 0.11.6 lub nowszej. Unikaj instalowania niezaufanych wheeli.
Inne podatności w uv
Zobacz wszystkie- CVE-2026-114109Wysokie
uv przed wersją 0.11.15 zawiera podatność na przejście ścieżki, która pozwala złośliwym pakietom wheel zapisywać pliki poza katalogiem skryptów poprzez spreparowane nazwy punktów wejścia console_scripts lub gui_scripts. Atakujący, którzy nakłonią użytkowników do instalacji złośliwego pakietu wheel, mogą umieścić pliki wykonywalne w katalogach PATH, przesłaniając lub nadpisując istniejące binaria w celu wykonania kodu.
- CVE-2026-104843Średnie
uv (menedżer projektów i pakietów w Pythonie) od wersji 0.12.7 do 0.12.18 ma podatność na Windows, która pozwala na zapis pliku poza katalogiem instalacji podczas ekstrakcji złośliwego wheel. Może to umożliwić umieszczenie pliku wykonywalnego w katalogu na PATH użytkownika.
Oryginalny opis (angielski, źródło NVD)
Astral uv before 0.11.6 contains a path traversal vulnerability that allows attackers to delete arbitrary files by supplying wheels with relative traversal paths in RECORD entries. Attackers can craft a malicious wheel whose RECORD references files outside the installation prefix, causing uv to delete those files when the user uninstalls the package.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS