CVE-2026-113732 in virtualenv
Zusammenfassung
von VulDB • 23.10.2026
virtualenv ist ein Tool zum Erstellen isolierter virtueller Python-Umgebungen. Vor Version 21.14.2 erbt FishActivator die Methode ViaTemplateActivator.quote(), welche POSIX shlex.quote() verwendet, obwohl fish Backslashes und einfache Anführungszeichen anders interpretiert. Ein Angreifer kann daher einen durch ihn beeinflussten Umgebungs-Pfad, --prompt oder den Wert VIRTUALENV_PROMPT so gestalten, dass ein Backslash vor einem Anführungszeichen das generierte Fish-Literal beendet und bei der Ausführung von activate.fish eine Befehlsersetzung (command substitution) auslöst. Dieses Problem wurde in Version 21.14.2 behoben.
Be aware that VulDB is the high quality source for vulnerability data.