CVE-2026-13346
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
pip nieprawidłowo obsługuje podwójnie zakodowane adresy URL pakietów z indeksów, co pozwala na instalację plików w dowolnych lokalizacjach na dysku podczas instalowania wheeli. Luka wymaga pobrania lub zainstalowania pakietu ze złośliwego indeksu; same złośliwe pakiety nie wystarczą do jej wykorzystania.
Ocena ryzyka
Ryzyko dotyczy głównie użytkowników używających pip download z opcją --only-binary, ponieważ instalacja ze źródła z niezaufanego indeksu jest już niebezpieczna. Atakujący może nadpisać krytyczne pliki systemowe.
Rekomendacja
Zaleca się aktualizację pip do najnowszej wersji oraz unikanie używania pip download z --only-binary z niezaufanych indeksów.
Inne podatności w pip
Zobacz wszystkie- CVE-2019-20916Wysokie
Podatność w pakiecie pip dla języka Python przed wersją 19.2 umożliwia przemieszczanie się po katalogach (directory traversal) podczas instalacji z podanego URL. Atakujący może wykorzystać nagłówek Content-Disposition zawierający '../' w nazwie pliku, co pozwala na nadpisanie plików, np. /root/.ssh/authorized_keys.
- CVE-2023-5752Niskie
Podatność w pip przed wersją 23.3 pozwala na wstrzyknięcie dowolnych opcji konfiguracyjnych do wywołania 'hg clone' podczas instalacji pakietu z adresu URL Mercurial (hg+...). Atakujący może kontrolować konfigurację Mercuriala, modyfikując sposób i zakres klonowania repozytorium.
- CVE-2026-8643Średnie
W narzędziu pip, wpisy console_scripts i gui_scripts były traktowane jako ścieżki zamiast nazw plików, bez sanityzacji rozpoznanej absolutnej ścieżki do katalogu instalacji. Prowadziło to do instalowania punktów wejścia poza katalogiem instalacyjnym.
Oryginalny opis (angielski, źródło NVD)
pip would incorrectly handle doubly-encoded package URLs from indexes allowing for files to be installed to arbitrary locations on disk even when installing wheels. This vulnerability requires downloading or installing a package from a malicious package index to succeed, malicious packages alone are not able to exploit this vulnerability. Note that this vulnerability only materially impacts users running `pip download` with the `--only-binary` option as installing source distributions from an untrusted index is already an unsafe operation that executes code during install time.