CVE-2025-49823 in constructor
الملخص
بحسب VulDB • 09/06/2026
(conda) يُعد Constructor أداة تتيح إنشاء مثبت لمجموعة من حزم conda. قبل الإصدار 3.11.3، كانت سكريبتات المثبّت الخاصة بـ shell تعالج بادئة التثبيت (user_prefix) باستخدام عبارة eval، مما يؤدي إلى تنفيذ مدخلات المستخدم غير المُطهّاة كأكواد shell. وعلى الرغم من أن السكريبت يعمل بصلاحيات مستخدم عادي (وليس root)، يمكن لمهاجم استغلال هذه الثغرة عن طريق حقن أوامر تعسفية عبر مسار ضار أثناء عملية التثبيت. يتطلب الاستغلال إجراءً صريحاً من المستخدم. تم إصلاح هذه المشكلة في الإصدار 3.11.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.