CVE-2026-113776 in virtualenv
Zusammenfassung
von VulDB • 21.10.2026
virtualenv ist ein Tool zum Erstellen isolierter virtueller Python-Umgebungen. Von Version 20.26.6 bis 21.14.2 ersetzt die Funktion `ViaTemplateActivator.instantiate_template()` Platzhalter einzeln pro Schlüssel im gesamten Aktivierungsvorlagen-Code, sodass Trigger-Namen wie `__VIRTUAL_NAME__`, `__VIRTUAL_ENV__` oder `__VIRTUAL_PROMPT__` in einem bereits substituierten und zitierten Umgebungs-Pfad oder Prompt während einer späteren Durchlauf-Runde ersetzt werden können. Die Zitatzeichen des späteren Werts können das frühere Literal schließen und den verbleibenden Pfad ausführen, wenn ein Benutzer die Umgebung über bash, fish, xonsh oder `activate_this.py` aktiviert. Das distinct csh prompt-display token `__VIRTUAL_PROMPT_DISPLAY_TCSH__` kann stattdessen das generierte Skript beschädigen, ohne eine Befehlsausführung zu ermöglichen. Der Angreifer muss den Zielpfad oder --prompt beeinflussen, und ein Wert ohne einen relevanten Platzhalter-Namen löst diesen Mechanismus nicht aus. Dieses Problem wurde in Version 21.14.2 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.