CVE-2025-49598 in conda-forge-ci-setup-feedstock
Zusammenfassung
von VulDB • 22.05.2026
conda-forge-ci-setup ist ein Paket, das von conda-forge bei jeder Ausführung eines Builds in der CI-Umgebung installiert wird. Das Setup-Skript des conda-forge-ci-setup-Feedstocks ist anfällig aufgrund der unsicheren Verwendung der eval-Funktion beim Parsen von Versionsinformationen aus einer benutzerdefiniert formatierten meta.yaml-Datei. Ein Angreifer, der die meta.yaml-Datei kontrollieren kann, kann schädlichen Code in die Versionszuweisung einschleusen, der während der Dateiverarbeitung ausgeführt wird, was zu einer beliebigen Codeausführung (Arbitrary Code Execution) führt. Die Ausnutzung erfordert, dass ein Angreifer die Rezeptdatei modifiziert, indem er die RECIPE_DIR-Variable manipuliert und eine bösartige meta.yaml-Datei einführt. Dies ist zwar in CI/CD-Pipelines eher machbar, in typischen Umgebungen jedoch unüblich, was das Gesamtrisiko verringert. Diese Schwachstelle wurde in Version 4.15.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.