GHSA-xmj3-9gf7-h52w
NiskieStreszczenie
W systemie Windows zawartość pliku .dist-info/namespace_packages.txt w kole (wheel) kontrolowana przez atakującego może spowodować, że starsza ścieżka instalacji setuptools utworzy plik __init__.py poza wskazanym katalogiem destination_eggdir. Atakujący może wpłynąć na ścieżkę docelową, ale nie na zawartość pliku.
Ocena ryzyka
Atakujący może doprowadzić do zapisu pliku poza zamierzonym katalogiem instalacji, co potencjalnie umożliwia nadpisanie lub utworzenie plików w nieoczekiwanych lokalizacjach. Może to naruszyć integralność systemu plików podczas instalacji pakietów.
Rekomendacja
Zaktualizuj setuptools do wersji zawierającej poprawkę lub unikaj starszej ścieżki instalacji wheel. Weryfikuj pakiety instalowane z niezaufanych źródeł.
Inne podatności w setuptools
Zobacz wszystkie- CVE-2025-47273Średnie
Setuptools to pakiet umożliwiający pobieranie, budowanie, instalowanie, uaktualnianie i usuwanie pakietów Pythona. Podatność typu path traversal w PackageIndex występuje w setuptools przed wersją 78.1.1. Atakujący może zapisywać pliki w dowolnych lokalizacjach w systemie plików.
- CVE-2026-59890Średnie
W setuptools przed wersją 83.0.0, dyrektywy MANIFEST.in (exclude, global-exclude, recursive-exclude, prune) były stosowane bez normalizacji Unicode, co na systemach plików macOS APFS lub HFS+ pozwalało na ominięcie reguł wykluczania i włączenie plików o nazwach w formie NFD do dystrybucji źródłowej.
Oryginalny opis (angielski, źródło NVD)
### Summary On Windows, attacker-controlled content in a wheel's `.dist-info/namespace_packages.txt` can cause setuptools' legacy wheel installation path to create an `__init__.py` outside the requested `destination_eggdir`. The attacker can influence the destination path, but not the contents of
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS