Podatności uv
3 znanych podatności CVE w uv, przetłumaczonych i ocenionych.
- CVE-2026-114110Średnie
W narzędziu Astral uv przed wersją 0.11.6 występuje podatność path traversal umożliwiająca usunięcie dowolnych plików poprzez dostarczenie wheeli z względnymi ścieżkami traversal w wpisach RECORD. Złośliwy wheel może odwoływać się do plików poza prefiksem instalacji.
- CVE-2026-114109Wysokie
uv przed wersją 0.11.15 zawiera podatność na przejście ścieżki, która pozwala złośliwym pakietom wheel zapisywać pliki poza katalogiem skryptów poprzez spreparowane nazwy punktów wejścia console_scripts lub gui_scripts. Atakujący, którzy nakłonią użytkowników do instalacji złośliwego pakietu wheel, mogą umieścić pliki wykonywalne w katalogach PATH, przesłaniając lub nadpisując istniejące binaria w celu wykonania kodu.
- CVE-2026-104843Średnie
uv (menedżer projektów i pakietów w Pythonie) od wersji 0.12.7 do 0.12.18 ma podatność na Windows, która pozwala na zapis pliku poza katalogiem instalacji podczas ekstrakcji złośliwego wheel. Może to umożliwić umieszczenie pliku wykonywalnego w katalogu na PATH użytkownika.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS