CVE-2026-59890

ŚrednieCVSS 6.1

Opublikowano: 08/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

W setuptools przed wersją 83.0.0, dyrektywy MANIFEST.in (exclude, global-exclude, recursive-exclude, prune) były stosowane bez normalizacji Unicode, co na systemach plików macOS APFS lub HFS+ pozwalało na ominięcie reguł wykluczania i włączenie plików o nazwach w formie NFD do dystrybucji źródłowej.

Ocena ryzyka

Organizacja może nieświadomie dystrybuować pliki, które powinny być wykluczone (np. konfiguracyjne, z danymi wrażliwymi), co zwiększa ryzyko wycieku informacji lub naruszenia polityki bezpieczeństwa.

Rekomendacja

Należy niezwłocznie zaktualizować setuptools do wersji 83.0.0 lub nowszej, która zawiera poprawkę normalizacji Unicode dla wzorców glob.

Inne podatności w setuptools

CVE-2025-47273Średnie
Setuptools to pakiet umożliwiający pobieranie, budowanie, instalowanie, uaktualnianie i usuwanie pakietów Pythona. Podatność typu path traversal w PackageIndex występuje w setuptools przed wersją 78.1.1. Atakujący może zapisywać pliki w dowolnych lokalizacjach w systemie plików.

Oryginalny opis (angielski, źródło NVD)

setuptools is a package that allows users to download, build, install, upgrade, and uninstall Python packages. Prior to 83.0.0, FileList applied MANIFEST.in exclude, global-exclude, recursive-exclude, and prune directives by matching compiled glob patterns against on-disk file names without Unicode normalization, so on macOS APFS or HFS+ an NFD file name could bypass an NFC exclusion rule and be packed into a source distribution. This issue is fixed in version 83.0.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS