CVE-2026-102925 in virtualenv
Zusammenfassung
von VulDB • 29.09.2026
virtualenv ist ein Tool zum Erstellen isolierter virtueller Python-Umgebungen. Vor Version 21.7.13 platzieren die generierten Skripte activate (bash und zsh) sowie activate.fish Werte, die bereits durch shlex.quote maskiert wurden, in einem zusätzlichen kontextbezogenen Zitatkontext. Im bash- und zsh-Skript erreicht ein speziell konstruierter Pfad zur virtuellen Umgebung __VIRTUAL_ENV__, wenn das aufgezeichnete Verzeichnis einer verschobenen Umgebung fehlt; im fish-Skript erreichen speziell konfigurierte Tcl- oder Tk-Bibliothekspfade __TCL_LIBRARY__ bzw. __TK_LIBRARY__. Die zusätzlichen Anführungszeichen können den datenbasierten, nur in Anführungszeichen gesetzten Lauf beenden und Shell-Metazeichen als Befehle parsen lassen, wenn ein Benutzer das Aktivierungsskript ausführt (source), was die Code-Ausführung mit den Berechtigungen dieses Benutzers ermöglicht. Dieses Problem wurde in Version 21.7.13 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.