CVE-2026-8643
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W narzędziu pip, wpisy console_scripts i gui_scripts były traktowane jako ścieżki zamiast nazw plików, bez sanityzacji rozpoznanej absolutnej ścieżki do katalogu instalacji. Prowadziło to do instalowania punktów wejścia poza katalogiem instalacyjnym.
Ocena ryzyka
Może to prowadzić do umieszczenia plików wykonywalnych w nieoczekiwanych lokalizacjach, co może ułatwić atakującemu uruchomienie złośliwego kodu lub ominięcie zabezpieczeń.
Rekomendacja
Należy zaktualizować pip do najnowszej wersji, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w pip
Zobacz wszystkie- CVE-2019-20916Wysokie
Podatność w pakiecie pip dla języka Python przed wersją 19.2 umożliwia przemieszczanie się po katalogach (directory traversal) podczas instalacji z podanego URL. Atakujący może wykorzystać nagłówek Content-Disposition zawierający '../' w nazwie pliku, co pozwala na nadpisanie plików, np. /root/.ssh/authorized_keys.
- CVE-2023-5752Niskie
Podatność w pip przed wersją 23.3 pozwala na wstrzyknięcie dowolnych opcji konfiguracyjnych do wywołania 'hg clone' podczas instalacji pakietu z adresu URL Mercurial (hg+...). Atakujący może kontrolować konfigurację Mercuriala, modyfikując sposób i zakres klonowania repozytorium.
- CVE-2026-13346Średnie
pip nieprawidłowo obsługuje podwójnie zakodowane adresy URL pakietów z indeksów, co pozwala na instalację plików w dowolnych lokalizacjach na dysku podczas instalowania wheeli. Luka wymaga pobrania lub zainstalowania pakietu ze złośliwego indeksu; same złośliwe pakiety nie wystarczą do jej wykorzystania.
Oryginalny opis (angielski, źródło NVD)
pip would treat console_scripts and gui_scripts as paths instead of file names without sanitizing the resolved absolute path to the installation directory, leading to entry points being installed outside the installation directory.