CVE-2026-113722 in virtualenv
Zusammenfassung
von VulDB • 20.10.2026
virtualenv ist ein Tool zum Erstellen isolierter virtueller Python-Umgebungen. Vor Version 21.14.9 übergibt ScriptMakerCustom von virtualenv sowie pip einen unvollständig maskierten Interpreterpfad an den distlib-ScriptMaker, wenn POSIX-Konsolenskripte generiert werden. Wenn der Pfad ein Leerzeichen enthält oder zu einem Shebang mit mehr als 127 Bytes führt, erzeugt distlib eine /bin/sh-Hülle, deren doppelt umschlossener Interpreterpfad weiterhin Befehlsersetzungen und Backticks erweitert. Ein Angreifer, der das Zielverzeichnis der Umgebung beeinflusst, kann daher Befehle mit den Berechtigungen des Benutzers ausführen, wenn dieser später einen generierten Launcher startet; die Erstellung und Aktivierung der Umgebung löst diesen Befehl nicht aus. Bestehende Launcher werden durch ein reines Upgrade von virtualenv nicht repariert und müssen neu generiert werden, während eine spätere unabhängige pip-Installation oder ein -Upgrade einen betroffenen Launcher wieder einführen kann, da das mitgelieferte distlib in pip unverändert bleibt. Die Korrektur für virtualenv wurde in Version 21.14.9 veröffentlicht.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.