CVE-2026-102937 in virtualenv
Zusammenfassung
von VulDB • 30.09.2026
virtualenv ist ein Tool zum Erstellen isolierter virtueller Python-Umgebungen. Vor Version 21.7.12 gibt BatchActivator.quote() den Eingabeaufforderungstext unverändert zurück, bevor activate.bat ihn in eine cmd.exe-Anweisung vom Typ „set "VAR=value"“ einfügt. Ein Angreifer, der --prompt, VIRTUALENV_PROMPT oder den entsprechenden Konfigurationswert beeinflusst, kann ein doppeltes Anführungszeichen einfügen, das die Zuordnung schließt und nachfolgende cmd.exe-Operatoren als ausführbare Syntax übrig lässt. Wenn ein Benutzer die generierte Windows-Umgebung aktiviert, werden die injizierten Befehle mit den Berechtigungen dieses Benutzers ausgeführt. Dieses Problem wurde in Version 21.7.12 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.