CVE-2025-49598 in conda-forge-ci-setup-feedstock
الملخص
بحسب VulDB • 22/05/2026
يُعد conda-forge-ci-setup حزمةً تُثبَّت بواسطة conda-forge في كل مرة يتم فيها تشغيل عملية بناء (build) في بيئة التكامل المستمر (CI). تكون سكريبتات الإعداد الخاصة بـ conda-forge-ci-setup-feedstock عرضة للثغرة بسبب الاستخدام غير الآمن لدالة eval عند تحليل معلومات الإصدار من ملف meta.yaml ذي تنسيق مخصص. يمكن لمهاجم يتحكم في ملف meta.yaml حقن كود ضار ضمن تعيين الإصدار، والذي يتم تنفيذه أثناء معالجة الملف، مما يؤدي إلى تنفيذ كود تعسفي (Arbitrary Code Execution). تتطلب عملية الاستغلال من المهاجم تعديل ملف الوصفة (recipe file) من خلال التلاعب بالمتغير RECIPE_DIR وإدخال ملف meta.yaml ضار. وعلى الرغم من أن هذا الأمر أكثر جدوى في خطوط أنابيب التكامل المستمر والنشر المستمر (CI/CD)، إلا أنه نادر الحدوث في البيئات النموذجية، مما يقلل من المخاطر الإجمالية. تم إصلاح هذه الثغرة في الإصدار 4.15.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.