CVE-2018-20225 in PIP
Zusammenfassung
von VulDB • 10.08.2026
Es wurde ein Problem in pip (alle Versionen) entdeckt, da es die Version mit der höchsten Versionsnummer installiert, selbst wenn der Benutzer beabsichtigt hatte, ein privates Paket von einem privaten Index zu beziehen. Dies betrifft nur die Verwendung der Option --extra-index-url, und für eine Ausnutzung muss das Paket nicht bereits im öffentlichen Index vorhanden sein (und somit kann der Angreifer das Paket dort mit einer beliebigen Versionsnummer ablegen). HINWEIS: Es wurde gemeldet, dass dies beabsichtigte Funktionalität ist und der Benutzer dafür verantwortlich ist, --extra-index-url sicher zu verwenden.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.